Уразливість Stored XSS у плагіні FV Flowplayer Video Player для WordPress

Що відомо

Плагін FV Flowplayer Video Player для WordPress має уразливість збереженого міжсайтового скриптингу (Stored XSS) через атрибут 'align' шорткоду 'video_player' у версіях до 7.5.51.7212 включно. Аутентифіковані користувачі з рівнем доступу не нижче контриб'ютора можуть впроваджувати шкідливі скрипти, які виконуються при перегляді сторінок.

Бізнес-вплив

Ця уразливість дозволяє зловмисникам з правами контриб'ютора або вище впроваджувати довготривалі шкідливі скрипти на сайтах, що може призвести до компрометації сесій користувачів, викрадення даних або поширення шкідливого коду. Власники сайтів на WordPress, які використовують цей плагін, ризикують втратити довіру користувачів та зазнати репутаційних збитків.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна FV Flowplayer Video Player та застосувати їх, якщо вони доступні. Якщо оновлення відсутні, слід обмежити права користувачів до рівня нижче контриб'ютора, ретельно перевіряти введені дані та переглядати журнали на предмет підозрілої активності. Також варто розглянути тимчасове відключення плагіна до усунення уразливості.

Джерела

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference