Уразливість Stored XSS у плагіні Yoga Schedule Momoyoga для WordPress

Що відомо

Плагін Yoga Schedule Momoyoga для WordPress версії до 2.9.0 включно містить уразливість збереженого міжсайтового скриптингу (Stored XSS) через недостатню санітизацію та екранування атрибутів шорткоду 'momoyoga-schedule'. Атакуючі з рівнем доступу не нижче контриб'ютора можуть впроваджувати довільні скрипти, які виконуватимуться при перегляді сторінок.

Бізнес-вплив

Ця уразливість дозволяє зловмисникам впроваджувати шкідливі скрипти, що можуть викрасти сесійні дані користувачів або змінити контент сторінок, що негативно впливає на безпеку вебсайту та довіру користувачів. Власники сайтів на WordPress з цим плагіном ризикують компрометацією даних та порушенням роботи сервісу.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна Yoga Schedule Momoyoga та встановити їх, якщо доступні. Якщо оновлення відсутні, слід обмежити доступ користувачів до ролей з правами контриб'ютора і вище, провести аудит логів на наявність підозрілої активності, а також розглянути тимчасове відключення плагіна для зниження ризику.

Джерела

• NVD
• Reference
• Reference
• Reference