Уразливість Stored XSS у плагіні Appointmind для WordPress

Що відомо

Плагін Appointmind для WordPress має уразливість типу Stored Cross-Site Scripting через недостатню санітизацію та екранування атрибутів шорткоду 'appointmind_calendar' у версіях до 4.1.0 включно. Атакувальники з рівнем доступу не нижче контриб'ютора можуть впроваджувати шкідливі скрипти, які виконуватимуться при відкритті сторінок.

Бізнес-вплив

Ця уразливість дозволяє зловмисникам впроваджувати довготривалі скрипти на сайтах, що може призвести до викрадення сесій користувачів, зміни контенту або інших небажаних дій. Для операторів ІТ та власників інфраструктури це означає підвищений ризик компрометації вебресурсів і втрати довіри користувачів.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна Appointmind від розробника та застосувати їх. Якщо оновлення недоступні, слід обмежити права користувачів до мінімально необхідних, провести аудит логів на предмет підозрілої активності та зменшити експозицію вразливих сторінок.

Джерела

• NVD
• Reference
• Reference