Уразливість Stored XSS у плагіні WP Shortcodes Ultimate для WordPress

Що відомо

Плагін WP Shortcodes Ultimate для WordPress має уразливість збереженого міжсайтового скриптингу (Stored XSS) через атрибут 'max_width' шорткоду su_box у версіях до 7.4.10 включно. Атакуючі з рівнем доступу не нижче контриб'ютора можуть впроваджувати шкідливі скрипти, які виконуватимуться при перегляді сторінок.

Бізнес-вплив

Уразливість дозволяє автентифікованим користувачам із правами контриб'ютора та вище впроваджувати довготривалі скрипти, що можуть викрасти сесійні дані або змінити вміст сторінок. Це підвищує ризик компрометації вебресурсу та довіри користувачів, що може негативно вплинути на репутацію та безпеку інфраструктури.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна WP Shortcodes Ultimate та встановити їх, якщо доступні. Якщо оновлення відсутні, слід обмежити права користувачів до мінімально необхідних, провести аудит логів на наявність підозрілої активності та розглянути тимчасове вимкнення плагіна для зниження ризику.

Джерела

• NVD
• Reference
• Reference
• Reference
• Reference