Уразливість Stored XSS у WPForms через інтеграцію OptinMonster

Що відомо

Плагін WPForms для WordPress має уразливість збереженого міжсайтового скриптингу (Stored XSS) через недостатню санітизацію даних у атрибуті data-sitekey інтеграції OptinMonster. Зловмисники з рівнем доступу не нижче контриб'ютора можуть впроваджувати шкідливі скрипти, які виконуються при перегляді сторінок.

Бізнес-вплив

Ця уразливість дозволяє автентифікованим користувачам впроваджувати довготривалі скрипти, що можуть викрасти сесійні дані або змінити вміст сторінок, що негативно впливає на довіру користувачів і безпеку вебресурсу. Власники сайтів повинні оцінити ризики, особливо якщо використовується плагін OptinMonster з активними кампаніями.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна WPForms і OptinMonster, обмежити права користувачів до мінімально необхідних, провести аудит вмісту сторінок на наявність шкідливих скриптів, а також моніторити журнали подій для виявлення підозрілої активності. Якщо оновлення недоступні, слід розглянути тимчасове відключення інтеграції OptinMonster.

Джерела

• NVD
• Reference
• Reference
• Reference
• Reference