Уразливість Stored XSS у плагіні Infomaniak Connect для WordPress

Що відомо

Плагін Infomaniak Connect для OpenID у WordPress має уразливість збереженого міжсайтового скриптингу (Stored XSS) через параметр 'endpoint_login' у шорткоді infomaniak_connect_generic_auth_url у версіях до 1.0.2 включно. Це дозволяє автентифікованим користувачам з рівнем доступу Contributor і вище впроваджувати довільні скрипти, які виконуються при перегляді сторінок.

Бізнес-вплив

Уразливість може призвести до виконання шкідливих скриптів у браузерах користувачів, що відкриває можливості для крадіжки сесій, фішингу або інших атак на користувачів сайту. Власники сайтів на WordPress, які використовують цей плагін, ризикують компрометацією безпеки та довіри користувачів, особливо якщо доступ до редагування мають кілька користувачів.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна від розробника та негайно застосувати їх. Якщо оновлення недоступні, слід обмежити права користувачів до мінімально необхідних, провести аудит логів на предмет підозрілої активності та зменшити експозицію вразливих параметрів. Також варто впровадити додаткові заходи фільтрації та екранування введених даних.

Джерела

• NVD
• Reference
• Reference
• Reference