Вразливість Stored XSS у плагіні Video Onclick для WordPress

Що відомо

Плагін Video Onclick для WordPress має вразливість збереженого міжсайтового скриптингу (Stored XSS) через shortcode 'youtube' у версіях до 0.4.7 включно. Недостатня санітизація та екранування введених користувачем атрибутів дозволяє автентифікованим користувачам з рівнем доступу не нижче контриб’ютора впроваджувати шкідливі скрипти на сторінках.

Бізнес-вплив

Ця вразливість може призвести до виконання шкідливих скриптів у браузерах користувачів сайту, що загрожує компрометацією сесій, викраденням даних або поширенням шкідливого коду. Для власників веб-інфраструктури це означає підвищений ризик атаки через довірені акаунти, що може вплинути на репутацію та безпеку користувачів.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна Video Onclick та встановити їх, якщо доступні. Якщо оновлення відсутні, слід обмежити права користувачів до мінімально необхідних, провести аудит логів на наявність підозрілої активності та розглянути можливість тимчасового відключення плагіна для зниження ризику.

Джерела

• NVD
• Reference
• Reference