Уразливість Stored XSS у плагіні WP Dropzone для WordPress

Що відомо

Плагін WP Dropzone для WordPress містить уразливість збереженого міжсайтового скриптингу (Stored XSS) через атрибут 'callback' шорткоду у версіях до 1.1.1 включно. Це дозволяє автентифікованим користувачам з рівнем доступу Contributor і вище впроваджувати довільні скрипти, які виконуються при перегляді сторінок.

Бізнес-вплив

Уразливість може призвести до виконання шкідливого JavaScript-коду на сайті, що ставить під загрозу безпеку користувачів і цілісність вебресурсу. Це може спричинити крадіжку сесій, зміну контенту або інші атаки, що впливають на довіру до сайту та його функціональність.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна WP Dropzone від розробника та застосувати їх. Якщо оновлення недоступні, слід обмежити доступ користувачів з рівнем Contributor і вище, провести аудит логів на предмет підозрілої активності та мінімізувати вплив шляхом зменшення експозиції вразливих сторінок.

Джерела

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference