Уразливість Stored XSS у плагіні Livemesh Addons для Beaver Builder WordPress

Що відомо

Плагін Livemesh Addons для Beaver Builder WordPress має уразливість збереженого міжсайтового скриптингу (Stored XSS) через недостатню санітизацію атрибутів shortcode [labb_pricing_item] 'title' та 'value' у версіях до 3.9.2 включно. Атакуючі з рівнем доступу Contributor і вище можуть впроваджувати шкідливі скрипти, які виконуватимуться при перегляді сторінок.

Бізнес-вплив

Ця уразливість дозволяє авторизованим користувачам впроваджувати шкідливий код, що може призвести до викрадення сесій, зміни контенту або інших атак на користувачів сайту. Власники сайтів на WordPress, які використовують цей плагін, ризикують компрометацією даних та зниженням довіри користувачів.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна Livemesh Addons для Beaver Builder і застосувати їх, якщо доступні. Якщо оновлення відсутні, слід обмежити права користувачів до рівня нижче Contributor, ретельно перевірити журнали на ознаки експлуатації, а також зменшити експозицію вразливих сторінок. Важливо також регулярно моніторити безпекові оновлення від розробника.

Джерела

• NVD
• Reference
• Reference
• Reference