Уразливість Stored XSS у темі The7 для WordPress (до версії 12.6.0)

Що відомо

Тема The7 для WordPress містить уразливість збереженого міжсайтового скриптингу (Stored XSS) через недостатню санітизацію та екранування введених даних у коді відображення лайтбоксу. Атакуючі з рівнем доступу Contributor і вище можуть вставляти шкідливі скрипти, які виконуються при перегляді сторінок.

Бізнес-вплив

Ця уразливість дозволяє аутентифікованим користувачам з правами Contributor і вище впроваджувати довготривалі скрипти, що можуть викрасти сесійні дані або змінити вміст сторінок, що негативно впливає на безпеку вебсайту та довіру користувачів. Власники сайтів на WordPress з темою The7 повинні розглянути ризики компрометації даних та потенційних атак на користувачів.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень теми The7 від розробника та застосувати їх, якщо доступні. Якщо оновлення відсутні, слід обмежити права користувачів до рівня нижче Contributor, провести аудит журналів на предмет підозрілої активності та мінімізувати вплив шляхом зменшення доступу до функцій, що використовують уразливий код.

Джерела

• NVD
• Reference
• Reference
• Reference
• Reference