Уразливість Stored XSS у плагіні Events Listing Widget для WordPress

Що відомо

Плагін Events Listing Widget для WordPress має уразливість збереженого міжсайтового скриптингу (Stored XSS) через параметр 'Event URL' у версіях до 1.3.4 включно. Це дозволяє автентифікованим користувачам з рівнем доступу Автор і вище впроваджувати довільні скрипти, які виконуватимуться при перегляді сторінок.

Бізнес-вплив

Уразливість може призвести до виконання шкідливих скриптів на сайті, що ставить під загрозу безпеку користувачів і цілісність вебресурсу. Це може спричинити крадіжку сесій, викрадення даних або інші атаки, що впливають на довіру користувачів і репутацію бізнесу.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна Events Listing Widget і встановити останню версію, що усуває цю уразливість. Якщо оновлення недоступне, слід обмежити доступ користувачів з рівнем Автор і вище, провести аудит журналів на предмет підозрілої активності та мінімізувати вплив шляхом обмеження введення та валідації параметрів.

Джерела

• NVD
• Reference
• Reference
• Reference
• Reference