Уразливість Stored XSS у плагіні WP Google Street View для WordPress

Що відомо

Плагін WP Google Street View (з 360° віртуальним туром) та Google maps + Local SEO для WordPress має уразливість збереженого міжсайтового скриптингу (Stored XSS) через шорткод 'wpgsv_map' у версіях до 1.1.8 включно. Зловмисники з рівнем доступу не нижче контриб'ютора можуть впроваджувати шкідливі скрипти, які виконуються при перегляді сторінок.

Бізнес-вплив

Ця уразливість дозволяє автентифікованим користувачам з правами контриб'ютора і вище впроваджувати довготривалі шкідливі скрипти, що можуть викликати викрадення сесій, зміну контенту або інші атаки на відвідувачів сайту. Власники сайтів на WordPress, які використовують цей плагін, ризикують компрометацією даних та зниженням довіри користувачів.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна WP Google Street View і встановити їх, якщо вони доступні. Якщо оновлення відсутні, слід обмежити права користувачів, провести аудит логів на ознаки експлуатації уразливості та мінімізувати публічний доступ до функціоналу, що використовує шорткод 'wpgsv_map'.

Джерела

• NVD
• Reference
• Reference