Вразливість Stored XSS у плагіні App Landing Template Blocks для WPBakery

Що відомо

Плагін App Landing Template Blocks для WPBakery Page Builder у WordPress має вразливість збереженого міжсайтового скриптингу (Stored XSS) через shortcode 'atvc_video_play' у версіях до 2.0.2 включно. Аутентифіковані користувачі з рівнем доступу не нижче контриб'ютора можуть впроваджувати шкідливі скрипти, які виконуються при перегляді сторінок.

Бізнес-вплив

Ця вразливість дозволяє зловмисникам з правами контриб'ютора або вище впроваджувати шкідливі скрипти, що може призвести до викрадення сесій користувачів, зміни вмісту сторінок або інших атак, що впливають на довіру користувачів і безпеку вебресурсу. Власники сайтів повинні оцінити ризики та вжити заходів для захисту від потенційних атак.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна від розробника та застосувати їх при наявності. Якщо оновлення недоступні, слід обмежити права користувачів до мінімально необхідних, ретельно перевіряти введені дані та переглядати журнали безпеки на предмет підозрілої активності. Також варто розглянути тимчасове відключення уразливого shortcode.

Джерела

• NVD
• Reference
• Reference
• Reference