Уразливість Stored XSS у плагіні WaveSurfer-WP для WordPress

Що відомо

Плагін WaveSurfer-WP для WordPress містить уразливість збереженого міжсайтового скриптингу (Stored XSS) через недостатню санітизацію атрибута 'src' в аудіошорткоді у версіях до 2.8.3 включно. Атакувальники з рівнем доступу Contributor і вище можуть вставляти шкідливі скрипти, які виконуються при перегляді сторінок.

Бізнес-вплив

Ця уразливість дозволяє авторизованим користувачам із правами Contributor і вище впроваджувати шкідливі скрипти, що можуть викликати викрадення сесій, зміну контенту або інші небажані дії для користувачів сайту. Власники сайтів на WordPress повинні врахувати ризики компрометації довіри користувачів і потенційні наслідки для безпеки даних.

Рекомендовані дії адміністратора

Рекомендується оновити плагін WaveSurfer-WP до останньої версії, де ця уразливість виправлена. Якщо оновлення неможливе, слід обмежити права користувачів до рівня нижче Contributor, перевірити журнали на наявність підозрілої активності та впровадити додаткові заходи фільтрації введення. Також варто регулярно переглядати оновлення від розробника плагіна.

Джерела

• NVD
• Reference
• Reference
• Reference
• Reference