Уразливість Stored XSS у плагіні User Profile Builder для WordPress

Що відомо

Плагін User Profile Builder для WordPress має уразливість типу Stored Cross-Site Scripting через параметр 'gdpr_communication_preferences[]' у версіях до 3.14.3 включно. Це дозволяє автентифікованим користувачам з рівнем доступу Subscriber і вище впроваджувати шкідливі скрипти, які виконуються при перегляді сторінок.

Бізнес-вплив

Уразливість може призвести до виконання довільних скриптів у браузерах користувачів, що ставить під загрозу конфіденційність даних і безпеку облікових записів. Це може вплинути на довіру користувачів і репутацію організації, а також створити ризики компрометації сайту або подальших атак.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна User Profile Builder від розробника та застосувати їх. Якщо оновлення недоступні, слід обмежити доступ до модулю GDPR Communication Preferences, провести аудит журналів на предмет підозрілої активності та мінімізувати експозицію вразливих форм. Пріоритезуйте виправлення цієї уразливості відповідно до ризиків.

Джерела

• NVD
• Reference
• Reference