Уразливість Stored XSS у плагіні Dynamic Widget Content для WordPress

Що відомо

Плагін Dynamic Widget Content для WordPress має уразливість збереженого міжсайтового скриптингу (Stored XSS) через поле вмісту віджета в боковій панелі редактора Gutenberg у версіях до 1.3.6 включно. Це дозволяє автентифікованим користувачам з рівнем Contributor і вище впроваджувати довільні скрипти, які виконуються при перегляді сторінок.

Бізнес-вплив

Уразливість може призвести до виконання шкідливих скриптів на сайті, що загрожує компрометацією облікових записів користувачів, викраденням сесій або іншими атаками. Власники сайтів на WordPress, які використовують цей плагін, ризикують втратити довіру користувачів та зазнати репутаційних і фінансових втрат.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна Dynamic Widget Content і встановити їх, якщо вони доступні. Якщо оновлення відсутні, слід обмежити доступ користувачів з рівнем Contributor і вище, провести аудит журналів безпеки на наявність підозрілої активності та мінімізувати вплив шляхом обмеження введення користувачів у віджетах.

Джерела

• NVD
• Reference
• Reference
• Reference
• Reference