Analytical use of cookies
Уразливість Stored XSS у плагіні Tournamatch для WordPress
Виявлено Stored XSS у плагіні Tournamatch для WordPress до версії 4.6.1. Рекомендується оновлення та обмеження доступу користувачів.
- CVSS
- 6.4 MEDIUM
- EPSS
- 13.98%
- Активно використовується
- немає в KEV
- Продукт
- tournamatch
Що відомо
Плагін Tournamatch для WordPress має уразливість типу Stored Cross-Site Scripting (XSS) через недостатню санітизацію та екранування в атрибутах шорткоду 'trn-ladder-registration-button' у версіях до 4.6.1 включно. Це дозволяє автентифікованим користувачам з рівнем доступу не нижче контриб'ютора вставляти шкідливі скрипти, які виконуються при перегляді сторінок.
Бізнес-вплив
Уразливість може призвести до виконання шкідливих скриптів у браузерах користувачів сайту, що загрожує компрометацією сесій, викраденням даних або іншими атаками через браузер. Власники сайтів на WordPress, які використовують цей плагін, ризикують порушенням безпеки та довіри користувачів. Особливо це стосується сайтів з кількома користувачами, де є контриб'ютори або вищі рівні доступу.
Рекомендовані дії адміністратора
Рекомендується перевірити наявність оновлень плагіна Tournamatch від розробника та встановити їх у разі доступності. Якщо оновлення відсутні, слід обмежити доступ користувачів до рівня нижче контриб'ютора, провести аудит логів на предмет підозрілої активності та мінімізувати вплив шляхом обмеження введення користувачів. Також варто регулярно моніторити безпекові оновлення та планувати оновлення плагінів.