Уразливість збереженого XSS у плагіні Premmerce для WordPress

Що відомо

Плагін Premmerce для WordPress має уразливість збереженого міжсайтового скриптингу (Stored XSS) через AJAX-ендпоінт 'premmerce_wizard_actions' у версіях до 1.3.20 включно. Уразливість виникає через відсутність перевірки прав доступу та недостатню санітизацію параметра 'state', що дозволяє аутентифікованим користувачам з рівнем підписника і вище впроваджувати довільні скрипти.

Бізнес-вплив

Ця уразливість може призвести до виконання шкідливих скриптів у контексті адміністративної сторінки Premmerce Wizard, що ставить під загрозу безпеку вебсайту та даних користувачів. Власники інфраструктури повинні врахувати можливість компрометації облікових записів та потенційні атаки на користувачів сайту.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна Premmerce та встановити їх, якщо доступні. Якщо оновлення відсутні, слід обмежити доступ до адміністративної сторінки, провести аудит логів на предмет підозрілої активності та впровадити додаткові заходи з контролю доступу. Пріоритетно слід зменшити експозицію вразливого функціоналу.

Джерела

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference