Уразливість Stored XSS в плагіні Able Player для WordPress через параметр 'preload'

Що відомо

Плагін Able Player для WordPress містить уразливість збереженого міжсайтового скриптингу (Stored XSS) через недостатню санітизацію параметра 'preload' у версіях до 1.2.1 включно. Атакуючі з рівнем доступу Contributor і вище можуть впроваджувати шкідливі скрипти, які виконуються при перегляді сторінок.

Бізнес-вплив

Ця уразливість дозволяє автентифікованим користувачам із правами Contributor і вище впроваджувати довготривалі скрипти, що можуть викрасти сесійні дані або виконувати небажані дії від імені користувачів. Це підвищує ризик компрометації вебсайту та довіри користувачів, що може негативно вплинути на репутацію та безпеку інфраструктури.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна Able Player і застосувати їх, якщо доступні. Якщо оновлення відсутні, обмежте права користувачів до мінімально необхідних, перегляньте журнали на предмет підозрілої активності та зменшіть експозицію вразливих сторінок. Пріоритезуйте виправлення цієї уразливості у вашому процесі управління вразливостями.

Джерела

• NVD
• Reference
• Reference
• Reference
• Reference