Уразливість Stored XSS у плагіні Membership Plugin – Restrict Content для WordPress

Що відомо

Плагін Membership Plugin – Restrict Content для WordPress має уразливість збереженого міжсайтового скриптингу (Stored XSS) у шорткодах 'register_form' та 'restrict' через недостатню санітизацію та екранування введених користувачем атрибутів. Це дозволяє автентифікованим користувачам з рівнем доступу не нижче контриб’ютора впроваджувати довільні скрипти, які виконуються при перегляді сторінок.

Бізнес-вплив

Уразливість може призвести до виконання шкідливих скриптів у браузерах користувачів сайту, що загрожує компрометацією сесій, викраденням облікових даних або іншими атаками через веб-інтерфейс. Власники сайтів на WordPress, які використовують цей плагін, ризикують порушенням безпеки та довіри користувачів, особливо якщо доступ до редагування мають кілька користувачів.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна від розробника та оперативно застосувати їх. Якщо оновлення недоступні, слід обмежити права користувачів до мінімально необхідних, ретельно перевірити журнали на ознаки експлуатації уразливості та розглянути тимчасове відключення плагіна. Загалом, слід посилити контроль введення даних і регулярно моніторити безпеку сайту.

Джерела

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference