Вразливість Stored XSS у плагіні Easy Social Feed для WordPress

Що відомо

Плагін Easy Social Feed для WordPress має вразливість збереженого міжсайтового скриптингу (Stored XSS) через недостатню санітизацію параметрів data-caption і data-linktext у версіях до 6.6.7 включно. Зловмисники з рівнем доступу Contributor і вище можуть впроваджувати шкідливі скрипти, які виконуються при перегляді сторінок.

Бізнес-вплив

Ця вразливість дозволяє аутентифікованим користувачам з правами Contributor і вище впроваджувати шкідливий код, що може призвести до компрометації сесій користувачів, викрадення даних або поширення шкідливого контенту. Власники сайтів на WordPress, які використовують цей плагін, ризикують порушенням безпеки та довіри користувачів.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна Easy Social Feed і встановити їх, якщо вони доступні. Якщо оновлення відсутні, слід обмежити доступ користувачів з рівнем Contributor і вище, провести аудит логів на предмет підозрілої активності та мінімізувати вплив шляхом зменшення прав користувачів. Також варто регулярно моніторити безпекові оголошення від розробника плагіна.

Джерела

• NVD
• Reference
• Reference
• Reference