Уразливість Stored XSS у плагіні Enable Media Replace для WordPress

Що відомо

Плагін Enable Media Replace для WordPress має уразливість збереженого міжсайтового скриптингу (Stored XSS) через недостатню санітизацію та екранування атрибутів у шорткоді file_modified у версіях до 4.1.6 включно. Атакуючі з рівнем доступу не нижче контриб'ютора можуть впроваджувати шкідливі скрипти, які виконуються при перегляді сторінок.

Бізнес-вплив

Ця уразливість дозволяє зловмисникам із обліковим записом контриб'ютора або вище впроваджувати шкідливі скрипти на сайтах WordPress, що може призвести до викрадення сесій, зміни контенту або інших атак на користувачів. Власники сайтів і ІТ-оператори повинні враховувати ризики компрометації безпеки та довіри користувачів.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна Enable Media Replace від розробника та встановити їх. Якщо оновлення недоступні, слід обмежити права користувачів до рівня нижче контриб'ютора, ретельно перевіряти введені дані та моніторити журнали безпеки на наявність підозрілої активності. Також варто розглянути тимчасове відключення плагіна.

Джерела

• NVD
• Reference
• Reference
• Reference
• Reference