Уразливість у плагіні Newsletter для WordPress дозволяє XSS-атаки

Що відомо

Плагін Newsletter для WordPress версій до 8.7.1 не очищує налаштування належним чином, що може дозволити адміністраторам виконувати збережені Cross-Site Scripting (XSS) атаки навіть без права unfiltered_html, наприклад у мультисайтових установках.

Бізнес-вплив

Ця уразливість може призвести до виконання шкідливого коду в браузерах користувачів сайту, що загрожує безпеці даних і довірі до ресурсу. Власники сайтів на базі WordPress, які використовують плагін Newsletter, повинні врахувати ризики, особливо у мультисайтових конфігураціях, де обмеження прав не повністю захищають від атак.

Рекомендовані дії адміністратора

Рекомендується оновити плагін Newsletter до версії 8.7.1 або новішої, якщо це можливо. Якщо оновлення недоступне, слід обмежити права користувачів з високими привілеями, провести аудит журналів безпеки на наявність підозрілої активності та розглянути тимчасові заходи з обмеження доступу до налаштувань плагіна.

Джерела

• NVD
• Reference