Уразливість у плагіні Ninja Forms для WordPress дозволяє XSS-атаки

Що відомо

Плагін Ninja Forms для WordPress версій до 3.10.1 не очищує та не екранує деякі налаштування, що може дозволити адміністраторам виконувати збережені Cross-Site Scripting (XSS) атаки навіть без права unfiltered_html, наприклад у мультисайтових середовищах.

Бізнес-вплив

Ця уразливість може призвести до виконання шкідливого коду в браузерах користувачів сайту, що ставить під загрозу безпеку даних та довіру клієнтів. Власники сайтів на базі WordPress з плагіном Ninja Forms повинні врахувати ризики, особливо у випадках, коли адміністратори мають високі привілеї, але обмежені можливості редагування HTML.

Рекомендовані дії адміністратора

Рекомендується оновити плагін Ninja Forms до версії 3.10.1 або новішої, де ця уразливість виправлена. Якщо оновлення неможливе, слід обмежити права користувачів з високими привілеями, переглянути журнали безпеки на наявність підозрілої активності та мінімізувати експозицію сайту. Також варто регулярно перевіряти оновлення від розробника плагіна.

Джерела

• NVD
• Reference