Уразливість XSS у плагіні User Submitted Posts для WordPress

Що відомо

Плагін User Submitted Posts для WordPress має уразливість збереженого міжсайтового скриптингу (Stored XSS) через недостатню санітизацію атрибутів у шорткоді 'usp_access'. Атакуючі з рівнем доступу Contributor і вище можуть впроваджувати шкідливі скрипти, які виконуються при перегляді сторінок.

Бізнес-вплив

Ця уразливість дозволяє автентифікованим користувачам з правами Contributor і вище впроваджувати довготривалі скрипти, що можуть викрасти сесійні дані або виконувати небажані дії від імені користувачів. Це створює ризики компрометації вебсайту та довіри користувачів, особливо для сайтів з великою кількістю контенту від користувачів.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна від розробника та застосувати їх. Якщо оновлення недоступні, обмежте права користувачів до мінімально необхідних, ретельно перевіряйте введений користувачами контент, а також переглядайте логи на предмет підозрілої активності. Впровадьте додаткові заходи фільтрації та екранування введення на стороні сервера.

Джерела

• NVD
• Reference
• Reference
• Reference