Уразливість Stored XSS у плагіні Reading progressbar для WordPress до версії 1.3.1

Що відомо

Плагін Reading progressbar для WordPress версій до 1.3.1 не очищує належним чином деякі налаштування, що дозволяє користувачам з високими привілеями, наприклад адміністраторам, виконувати атаки типу Stored Cross-Site Scripting навіть за відсутності права unfiltered_html, наприклад у мультисайтових конфігураціях.

Бізнес-вплив

Ця уразливість може призвести до виконання шкідливого коду в контексті сайту, що ставить під загрозу безпеку користувачів і цілісність вебресурсу. Для власників інфраструктури це означає потенційні ризики компрометації облікових записів адміністраторів та порушення нормальної роботи сайту.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна Reading progressbar і встановити версію 1.3.1 або новішу. Якщо оновлення неможливе, слід обмежити доступ користувачів з високими привілеями та провести аудит журналів на предмет підозрілої активності. Також варто розглянути зменшення поверхні атаки шляхом обмеження можливостей введення HTML-коду.

Джерела

• NVD
• Reference