Уразливість Stored XSS у плагіні twinklesmtp для WordPress

Що відомо

Плагін twinklesmtp для WordPress має уразливість збереженого міжсайтового скриптингу (Stored XSS) у налаштуваннях відправника, що дозволяє адміністраторам впроваджувати шкідливі скрипти на сторінках. Проблема стосується мультисайтових інсталяцій та випадків, коли параметр unfiltered_html вимкнено.

Бізнес-вплив

Ця уразливість може призвести до виконання довільних скриптів у браузерах користувачів, що потенційно дозволяє викрадення сесій або інші атаки через інтерфейс адміністратора. Вона впливає на організації, які використовують мультисайтові інсталяції WordPress з плагіном twinklesmtp, особливо якщо unfiltered_html вимкнено, що підвищує ризики компрометації.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна twinklesmtp від розробника та застосувати їх. Якщо оновлення недоступні, слід обмежити доступ до адміністративних функцій, перевірити налаштування unfiltered_html, провести аудит логів на підозрілі дії та зменшити експозицію плагіна. Важливо також інформувати користувачів про потенційні ризики.

Джерела

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference