Уразливість Stored XSS у плагіні Testimonials Creator для WordPress (версія 1.6)

Що відомо

Плагін Testimonials Creator для WordPress версії 1.6 має уразливість збереженого міжсайтового скриптингу (Stored XSS) через недостатню санітизацію введених даних в адмінських налаштуваннях. Це дозволяє адміністраторам зловмисникам впроваджувати довільні скрипти, які виконуватимуться при перегляді сторінок користувачами.

Бізнес-вплив

Уразливість може призвести до виконання шкідливих скриптів у браузерах користувачів, що ставить під загрозу безпеку даних і довіру до сайту. Вона актуальна для мультисайтових інсталяцій WordPress або тих, де опція unfiltered_html вимкнена. Адміністратори повинні врахувати ризики впливу на користувачів та репутацію бізнесу.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна від розробника та застосувати їх. Якщо оновлення недоступні, обмежте доступ до адмінських налаштувань лише довіреним користувачам, перегляньте журнали безпеки на наявність підозрілої активності та зменшіть експозицію вразливих сайтів. Пріоритезуйте виправлення для мультисайтових інсталяцій і тих, де unfiltered_html вимкнено.

Джерела

• NVD
• Reference
• Reference