Уразливість Stored XSS у плагіні CarDealerPress для WordPress

Що відомо

Плагін CarDealerPress для WordPress має уразливість типу Stored Cross-Site Scripting через параметр 'saleclass' у версіях до 6.8.2505.00 включно. Зловмисники з рівнем доступу Contributor і вище можуть впроваджувати шкідливі скрипти, які виконуються при перегляді сторінок користувачами.

Бізнес-вплив

Ця уразливість дозволяє автентифікованим користувачам з правами Contributor і вище впроваджувати довготривалі шкідливі скрипти на сайті, що може призвести до викрадення сесій, зміни контенту або інших атак на користувачів. Власники сайтів на WordPress, які використовують цей плагін, можуть зазнати репутаційних та безпекових ризиків.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна CarDealerPress від розробника та застосувати їх. Якщо оновлення недоступні, слід обмежити права користувачів до мінімально необхідних, провести аудит логів на ознаки експлуатації уразливості та зменшити експозицію сайту. Також варто впровадити додаткові заходи з фільтрації та санітизації введених даних.

Джерела

• NVD
• Reference
• Reference
• Reference
• Reference