Уразливість збереженого XSS у плагіні WP-Members для WordPress

Що відомо

Плагін WP-Members для WordPress має уразливість збереженого міжсайтового скриптингу (Stored XSS) через поля Multiple Checkbox та Multiple Select у профілі користувача у версіях до 3.5.4.3 включно. Це дозволяє автентифікованим користувачам з рівнем доступу Subscriber і вище впроваджувати довільні скрипти, які виконуються при перегляді зараженої сторінки.

Бізнес-вплив

Уразливість може призвести до виконання шкідливих скриптів у браузерах користувачів, що ставить під загрозу безпеку даних та довіру до сайту. Це може вплинути на репутацію компанії та призвести до компрометації облікових записів користувачів. Операторам IT-інфраструктури слід враховувати ризики XSS при управлінні плагінами WordPress.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна WP-Members від виробника та застосувати їх при наявності. Якщо оновлення недоступні, слід обмежити доступ користувачів з рівнем Subscriber і вище, провести аудит логів на ознаки експлуатації уразливості та мінімізувати вплив шляхом обмеження введення даних у проблемних полях.

Джерела

• NVD
• Reference
• Reference