Уразливість Stored XSS у плагіні WordPress Infinite Scroll – Ajax Load More

Що відомо

Плагін WordPress Infinite Scroll – Ajax Load More має уразливість збереженого міжсайтового скриптингу (Stored XSS) через недостатню санітизацію атрибуту data-button-label у версіях до 7.4.0.1 включно. Атакуючі з рівнем доступу Contributor і вище можуть впроваджувати шкідливі скрипти, які виконуються при перегляді сторінок користувачами.

Бізнес-вплив

Ця уразливість дозволяє автентифікованим користувачам із правами Contributor і вище впроваджувати довготривалі шкідливі скрипти, що можуть викрасти сесійні дані або змінити контент сторінок. Це підвищує ризик компрометації сайту та довіри користувачів, що негативно впливає на репутацію та безпеку інфраструктури.

Рекомендовані дії адміністратора

Адміністраторам рекомендується перевірити наявність оновлень плагіна від розробника та застосувати їх. Якщо оновлення недоступні, слід обмежити права користувачів до мінімально необхідних, ретельно контролювати введення даних та переглядати журнали на предмет підозрілої активності. Важливо також інформувати команду безпеки про потенційні ризики та пріоритезувати усунення вразливості.

Джерела

• NVD
• Reference
• Reference