Уразливість Stored XSS у плагіні Daisycon prijsvergelijkers для WordPress

Що відомо

Плагін Daisycon prijsvergelijkers для WordPress містить уразливість збереженого міжсайтового скриптингу (Stored XSS) через shortcode 'daisycon_uitvaart' у версіях до 4.9.0 включно. Уразливість виникає через недостатню санітизацію та екранування введених користувачем атрибутів, що дозволяє автентифікованим користувачам з рівнем доступу не нижче контриб’ютора впроваджувати шкідливі скрипти на сторінках.

Бізнес-вплив

Ця уразливість може призвести до виконання шкідливих скриптів у браузерах користувачів сайту, що потенційно дозволяє викрадення сесій, зміну контенту або інші атаки, які впливають на довіру до сайту та безпеку користувачів. Власники сайтів на WordPress, які використовують цей плагін, мають оцінити ризики та пріоритетність оновлення або інших заходів безпеки.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна Daisycon prijsvergelijkers і встановити їх, якщо вони доступні. Якщо оновлення відсутні, слід обмежити доступ користувачів з рівнем контриб’ютора і вище, провести аудит логів на предмет підозрілої активності та розглянути тимчасове відключення shortcode 'daisycon_uitvaart' для зменшення ризику. Загалом, слід дотримуватися практик мінімізації прав доступу та моніторингу безпеки.

Джерела

• NVD
• Reference
• Reference
• Reference