Уразливість Stored XSS у плагіні VerticalResponse Newsletter Widget для WordPress

Що відомо

Плагін VerticalResponse Newsletter Widget для WordPress містить уразливість збереженого міжсайтового скриптингу (Stored XSS) через shortcode 'verticalresponse' у версіях до 1.6 включно. Уразливість виникає через недостатню санітизацію та екранування введених користувачем атрибутів, що дозволяє авторизованим користувачам з рівнем доступу не нижче контриб'ютора впроваджувати шкідливі скрипти на сторінках.

Бізнес-вплив

Ця уразливість може бути використана для впровадження шкідливих скриптів, які виконуються при перегляді заражених сторінок, що загрожує компрометацією сесій користувачів, викраденням даних або виконанням небажаних дій від імені користувачів. Власники сайтів на WordPress, що використовують цей плагін, можуть зіткнутися з порушенням безпеки та довіри користувачів.

Рекомендовані дії адміністратора

Адміністраторам рекомендується перевірити наявність оновлень плагіна VerticalResponse Newsletter Widget та застосувати їх, якщо доступні. Якщо оновлення відсутні, слід обмежити права користувачів, особливо контриб'юторів і вище, ретельно перевіряти введені дані та переглянути журнали на предмет підозрілої активності. Також варто розглянути тимчасове відключення плагіна до усунення уразливості.

Джерела

• NVD
• Reference
• Reference