Уразливість Stored Cross-Site Scripting у плагіні FuseDesk для WordPress

Що відомо

Плагін FuseDesk для WordPress має уразливість Stored Cross-Site Scripting через недостатню санітизацію та екранування атрибута 'emailtext' у шорткоді fusedesk_newcase. Атакуючі з рівнем доступу Contributor і вище можуть впроваджувати шкідливі скрипти, які виконуються при перегляді сторінок.

Бізнес-вплив

Ця уразливість дозволяє автентифікованим користувачам із правами Contributor і вище впроваджувати довготривалі скрипти, що можуть викрасти сесійні дані або змінити вміст сторінок, створюючи ризики для безпеки вебсайту та довіри користувачів. Власники сайтів повинні оцінити потенційний вплив на свої системи та користувачів.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна FuseDesk та застосувати їх, якщо вони доступні. Якщо оновлення відсутні, слід обмежити права користувачів до мінімально необхідних, провести аудит логів на предмет підозрілої активності та розглянути тимчасове відключення шорткоду fusedesk_newcase для зниження ризику.

Джерела

• NVD
• Reference
• Reference
• Reference