Уразливість Stored XSS у плагіні Woodpecker для WordPress

Що відомо

Плагін Woodpecker для WordPress має уразливість типу Stored Cross-Site Scripting через параметр 'form_name' шорткоду [woodpecker-connector] у версіях до 3.0.4 включно. Атакуючі з рівнем доступу Contributor і вище можуть впроваджувати шкідливі скрипти, які виконуються при перегляді сторінок.

Бізнес-вплив

Ця уразливість дозволяє автентифікованим користувачам з правами Contributor і вище впроваджувати довготривалі шкідливі скрипти на сайтах WordPress, що може призвести до компрометації сесій користувачів, викрадення даних або поширення шкідливого коду. Власники інфраструктури повинні врахувати потенційний ризик для безпеки вебресурсів і репутації компанії.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна Woodpecker і застосувати їх, якщо вони доступні. Якщо оновлення відсутні, обмежте доступ користувачів до рівня нижче Contributor, перегляньте журнали на предмет підозрілої активності та мінімізуйте експозицію вразливих сторінок. Пріоритезуйте виправлення уразливості у вашому плані безпеки.

Джерела

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference