Уразливість XSS у плагіні Allow HTML in Category Descriptions для WordPress

Що відомо

Плагін Allow HTML in Category Descriptions для WordPress має вразливість збереженого міжсайтового скриптингу (Stored XSS) у описах категорій у версіях до 1.2.4 включно. Уразливість дозволяє адміністраторам впроваджувати довільні скрипти, які виконуються при перегляді описів категорій на багатосайтових установках або там, де вимкнено unfiltered_html.

Бізнес-вплив

Ця вразливість може призвести до виконання шкідливих скриптів у браузерах користувачів, що потенційно дозволяє викрадення сесій, фішинг або інші атаки через інтерфейс сайту. Вона актуальна для багатосайтових інсталяцій WordPress або конфігурацій із вимкненим unfiltered_html, що може вплинути на безпеку веб-ресурсів та довіру користувачів.

Рекомендовані дії адміністратора

Адміністраторам рекомендується перевірити наявність оновлень плагіна від розробника та застосувати їх, якщо вони доступні. Якщо оновлення відсутні, слід обмежити права користувачів з можливістю редагування описів категорій, провести аудит логів на предмет підозрілої активності та мінімізувати експозицію вразливих установок, особливо багатосайтових.

Джерела

• NVD
• Reference
• Reference
• Reference