Вразливість Stored XSS у плагіні DIOT SCADA MQTT для WordPress

Що відомо

Плагін DIOT SCADA з MQTT для WordPress до версії 1.0.5.1 містить вразливість збереженого міжсайтового скриптингу (Stored XSS) через недостатню санітизацію та екранування атрибутів шорткоду 'diot'. Аутентифіковані користувачі з рівнем доступу не нижче контриб’ютора можуть впроваджувати довільні скрипти, які виконуватимуться при перегляді сторінок.

Бізнес-вплив

Ця вразливість дозволяє зловмисникам з обмеженим доступом впроваджувати шкідливі скрипти, що може призвести до викрадення сесій, зміни контенту або інших атак на користувачів сайту. Для власників інфраструктури це підвищує ризик компрометації вебресурсів і втрати довіри користувачів.

Рекомендовані дії адміністратора

Рекомендується оновити плагін DIOT SCADA MQTT до останньої версії, де виправлено цю вразливість. Якщо оновлення недоступне, слід обмежити права користувачів до мінімально необхідних, провести аудит логів на ознаки експлуатації та розглянути тимчасове відключення плагіна. Також варто перевірити налаштування безпеки WordPress і застосувати додаткові заходи захисту від XSS.

Джерела

• NVD
• Reference
• Reference