Вразливість Stored XSS у плагіні Post Grid Gutenberg Blocks – PostX для WordPress

Що відомо

Плагін Post Grid Gutenberg Blocks – PostX для WordPress має вразливість збереженого міжсайтового скриптингу (Stored XSS) через недостатню санітизацію атрибуту 'searchnoresult' у версіях до 5.0.32 включно. Атакувальники з правами не нижче рівня контриб’ютора можуть впроваджувати шкідливі скрипти, які виконуються при перегляді сторінок редакторами або адміністраторами.

Бізнес-вплив

Вразливість дозволяє користувачам із рівнем доступу контриб’ютора або вище впроваджувати довготривалі шкідливі скрипти, що можуть виконуватися в браузерах редакторів і адміністраторів. Це створює ризик компрометації облікових записів, викрадення сесій та інших атак, що можуть вплинути на безпеку вебсайту та довіру користувачів.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна Post Grid Gutenberg Blocks – PostX і застосувати їх, якщо вони доступні. Якщо оновлення неможливе, слід обмежити права користувачів до мінімально необхідних, ретельно перевіряти вміст, створений контриб’юторами, та аналізувати журнали подій на предмет підозрілої активності. Також варто розглянути тимчасове відключення плагіна до усунення вразливості.

Джерела

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference