Analytical use of cookies
Уразливість Stored XSS у плагіні WP Easy Contact для WordPress
WP Easy Contact до версії 4.0.1 має Stored XSS через параметр 'noaccess_msg', що дозволяє впровадження шкідливих скриптів автентифікованими користувачами.
- CVSS
- 6.4 MEDIUM
- EPSS
- 15.08%
- Активно використовується
- немає в KEV
- Продукт
- -
Що відомо
Плагін WP Easy Contact для WordPress має уразливість збереженого міжсайтового скриптингу (Stored XSS) через параметр 'noaccess_msg' у версіях до 4.0.1 включно. Це дозволяє автентифікованим користувачам з рівнем Contributor і вище впроваджувати довільні скрипти, які виконуються при перегляді зараженої сторінки.
Бізнес-вплив
Уразливість може призвести до виконання шкідливих скриптів у браузерах користувачів сайту, що ставить під загрозу конфіденційність даних та безпеку сесій. Це може вплинути на довіру користувачів і призвести до компрометації вебресурсу. Власникам інфраструктури слід враховувати ризики від атак, що використовують цю вразливість, особливо якщо плагін використовується на сайтах з багатьма користувачами.
Рекомендовані дії адміністратора
Рекомендується перевірити наявність оновлень плагіна WP Easy Contact від розробника та застосувати їх у разі доступності. Якщо оновлення відсутні, слід обмежити доступ користувачів з рівнем Contributor і вище до функцій, що використовують параметр 'noaccess_msg', а також провести аудит логів на предмет підозрілої активності. Загалом, варто зменшити експозицію вразливого плагіна та підвищити моніторинг безпеки сайту.