Уразливість Stored XSS у плагіні Campus Directory для WordPress

Що відомо

Плагін Campus Directory для WordPress має уразливість збереженого міжсайтового скриптингу (Stored XSS) через параметр 'noaccess_msg' у версіях до 1.9.1 включно. Зловмисники з рівнем доступу Contributor і вище можуть впроваджувати шкідливі скрипти, які виконуються при перегляді сторінок користувачами.

Бізнес-вплив

Ця уразливість дозволяє автентифікованим користувачам із правами Contributor і вище впроваджувати довготривалі шкідливі скрипти на сайті, що може призвести до компрометації облікових записів, викрадення сесій або поширення шкідливого коду серед відвідувачів. Власники сайтів на WordPress із встановленим плагіном Campus Directory повинні враховувати ризики для безпеки та довіри користувачів.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна Campus Directory та застосувати їх, якщо вони доступні. Якщо оновлення відсутні, слід обмежити доступ користувачів із рівнем Contributor і вище, провести аудит журналів доступу на наявність підозрілої активності та розглянути можливість тимчасового відключення плагіна до усунення уразливості.

Джерела

• NVD
• Reference
• Reference
• Reference
• Reference