Уразливість Stored XSS у плагіні esri-map-view для WordPress

Що відомо

Плагін esri-map-view для WordPress містить уразливість Stored Cross-Site Scripting (XSS) через недостатню санітизацію та екранування введених користувачем атрибутів у шорткоді esri-map-view у версіях до 1.2.3 включно. Це дозволяє автентифікованим користувачам з рівнем доступу не нижче контриб’ютора впроваджувати шкідливі скрипти, які виконуються при перегляді сторінок.

Бізнес-вплив

Уразливість може призвести до виконання довільних скриптів у браузерах користувачів сайту, що загрожує компрометацією сесій, викраденням даних або подальшим поширенням атак. Власники сайтів на WordPress, які використовують цей плагін, ризикують порушенням безпеки та довіри користувачів. Середній рівень критичності вказує на необхідність своєчасного реагування.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна esri-map-view від розробника та встановити їх. Якщо оновлень немає, слід обмежити доступ користувачів з рівнем контриб’ютора і вище, провести аудит журналів на предмет підозрілої активності, а також розглянути тимчасове відключення плагіна для зниження ризику. Загалом, слід дотримуватися кращих практик безпеки CMS і регулярно перевіряти плагіни на наявність вразливостей.

Джерела

• NVD
• Reference
• Reference