Уразливість збереженого XSS у плагіні AcyMailing для WordPress

Що відомо

Плагін AcyMailing для WordPress містить уразливість збереженого міжсайтового скриптингу (Stored XSS) через атрибут 'alignment' у версіях до 10.10.2 включно. Аутентифіковані користувачі з рівнем доступу не нижче контриб'ютора можуть впроваджувати шкідливі скрипти, які виконуються при перегляді сторінок.

Бізнес-вплив

Ця уразливість дозволяє зловмисникам впроваджувати шкідливий код, що може призвести до викрадення сесій, зміни вмісту сторінок або інших атак на користувачів сайту. Власники сайтів на WordPress, які використовують цей плагін, ризикують компрометацією даних та зниженням довіри користувачів.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна AcyMailing та встановити їх, якщо вони доступні. Якщо оновлення відсутні, слід обмежити доступ користувачів з правами контриб'ютора і вище, провести аудит журналів безпеки на наявність підозрілої активності та розглянути тимчасове відключення плагіна для зниження ризику.

Джерела

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference