Вразливість Stored XSS у плагіні CM E-Mail Blacklist для WordPress

Що відомо

Плагін CM E-Mail Blacklist для WordPress має вразливість збереженого міжсайтового скриптингу (Stored XSS) через параметр 'black_email' у версіях до 1.6.2 включно. Це дозволяє адміністраторам зловмисно впроваджувати скрипти, які виконуються при відкритті сторінок користувачами.

Бізнес-вплив

Вразливість може призвести до виконання шкідливих скриптів на сайтах з мультисайтовою установкою WordPress або де відключено unfiltered_html. Це створює ризик компрометації сесій користувачів, викрадення даних або зміни контенту, що негативно впливає на безпеку та довіру до сайту.

Рекомендовані дії адміністратора

Рекомендується оновити плагін CM E-Mail Blacklist до останньої версії, якщо доступна, або звернутися до розробника за патчем. Також слід перевірити налаштування мультисайтової установки та параметр unfiltered_html, обмежити права адміністративних користувачів і переглянути журнали на предмет підозрілої активності.

Джерела

• NVD
• Reference
• Reference
• Reference
• Reference