Вразливість Stored XSS у плагіні FlatPM – Ad Manager для WordPress

Що відомо

Плагін FlatPM – Ad Manager, AdSense та Custom Code для WordPress має вразливість збереженого міжсайтового скриптингу (Stored XSS) через поле 'rank_math_description' у версіях до 3.2.2 включно. Аутентифіковані користувачі з рівнем доступу не нижче контриб’ютора можуть впроваджувати шкідливі скрипти, які виконуються при перегляді сторінок.

Бізнес-вплив

Ця вразливість дозволяє зловмисникам з правами контриб’ютора або вище впроваджувати шкідливі скрипти, що можуть викликати крадіжку сесій, зміну контенту або інші атаки на користувачів сайту. Це підвищує ризик компрометації вебресурсу та зниження довіри користувачів, що критично для власників та операторів інфраструктури WordPress.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна FlatPM – Ad Manager і застосувати їх при наявності. Якщо оновлення недоступні, слід обмежити права користувачів до мінімально необхідних, провести аудит введених даних у полі 'rank_math_description', посилити фільтрацію та екранування введення, а також моніторити логи на ознаки експлуатації вразливості.

Джерела

• NVD
• Reference
• Reference