Уразливість Stored XSS у плагіні FPW Category Thumbnails для WordPress

Що відомо

Плагін FPW Category Thumbnails для WordPress має уразливість збереженого міжсайтового скриптингу (Stored XSS) через параметр 'id' у AJAX-дії 'fpw_fs_get_file' у версіях до 1.9.5 включно. Атакуючі з рівнем доступу не нижче підписника можуть впроваджувати шкідливі скрипти, які виконуються при відкритті сторінки налаштувань плагіна адміністратором.

Бізнес-вплив

Ця уразливість дозволяє аутентифікованим користувачам із мінімальним рівнем доступу впроваджувати шкідливий код, що може призвести до компрометації облікових записів адміністраторів або порушення роботи сайту. Власники інфраструктури повинні розглянути ризики, пов’язані з потенційним виконанням небезпечних скриптів у контексті адміністративної панелі.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна FPW Category Thumbnails від розробника та застосувати їх. Якщо оновлення недоступні, слід обмежити доступ користувачів із рівнем підписника та вище, провести аудит журналів доступу на предмет підозрілої активності та розглянути тимчасове відключення плагіна для зниження ризику.

Джерела

• NVD
• Reference
• Reference
• Reference
• Reference