Уразливість Stored XSS у плагіні Embed Google Datastudio для WordPress

Що відомо

Плагін Embed Google Datastudio для WordPress має уразливість збереженого міжсайтового скриптингу (Stored XSS) через недостатню санітизацію та екранування атрибутів шорткоду 'egds' у версіях до 1.0.0 включно. Атакуючі з рівнем доступу не нижче контриб’ютора можуть впроваджувати шкідливі скрипти, які виконуються при перегляді сторінок.

Бізнес-вплив

Ця уразливість дозволяє зловмисникам із правами контриб’ютора або вище впроваджувати довготривалі скрипти на сайтах, що може призвести до викрадення сесій, зміни контенту або інших атак на користувачів. Власники сайтів на WordPress, які використовують цей плагін, ризикують компрометацією даних та зниженням довіри користувачів.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна Embed Google Datastudio від розробника та негайно їх встановити. Якщо оновлень немає, обмежте доступ користувачів до рівня нижче контриб’ютора, ретельно перевіряйте введені дані та ведіть моніторинг логів на ознаки експлуатації. Також варто розглянути тимчасове відключення плагіна до усунення проблеми.

Джерела

• NVD
• Reference
• Reference