Уразливість XSS у плагіні WP All Import до версії 4.0.0

Що відомо

Плагін WP All Import для WordPress має вразливість відображеного міжсайтового скриптингу (Reflected XSS) через параметр 'filepath' у версіях до 4.0.0 включно. Це дозволяє неавторизованим зловмисникам впроваджувати шкідливі скрипти, які виконуються при обмані користувача.

Бізнес-вплив

Вразливість може призвести до компрометації сесій користувачів, викрадення даних або виконання небажаних дій від імені користувача. Це створює ризики для безпеки вебсайтів на базі WordPress, які використовують цей плагін, особливо якщо користувачі можуть бути обмануті для взаємодії з шкідливими посиланнями.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна WP All Import та встановити останню версію, де ця вразливість усунена. Якщо оновлення недоступне, слід обмежити доступ до функцій, що використовують параметр 'filepath', переглянути журнали на предмет підозрілої активності та інформувати користувачів про ризики фішингових посилань. Загалом, пріоритетно впровадити заходи з мінімізації впливу та моніторингу.

Джерела

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference