Уразливість Stored XSS у плагіні Countdown Timer для Elementor у WordPress

Що відомо

Плагін Countdown Timer для Elementor у WordPress має уразливість збереженого міжсайтового скриптингу (Stored XSS) через параметр 'countdown_label' у версіях до 1.3.9 включно. Атакуючі з рівнем доступу Contributor і вище можуть впроваджувати довільні скрипти, які виконуються при перегляді сторінок.

Бізнес-вплив

Ця уразливість дозволяє зловмисникам впроваджувати шкідливі скрипти на сайти, що може призвести до викрадення сесій користувачів, зміни контенту або інших атак, що впливають на довіру користувачів і безпеку даних. Власники сайтів повинні оцінити ризики та пріоритетність оновлення плагіна для запобігання потенційним інцидентам.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна Countdown Timer для Elementor та встановити їх, якщо доступні. Якщо оновлення відсутні, слід обмежити доступ користувачів з рівнем Contributor і вище, провести аудит логів на наявність підозрілої активності та зменшити експозицію вразливих сторінок. Також варто впровадити додаткові заходи фільтрації та екранування введених даних.

Джерела

• NVD
• Reference
• Reference