Вразливість Stored XSS у плагіні Gutenverse для WordPress

Що відомо

Плагін Gutenverse – Ultimate WordPress FSE Blocks Addons & Ecosystem має вразливість збереженого міжсайтового скриптингу (Stored XSS) через параметр 'separatorIconSVG' у версіях до 3.5.3 включно. Аутентифіковані користувачі з рівнем доступу не нижче контриб'ютора можуть вставляти шкідливі скрипти, які виконуються при перегляді сторінок.

Бізнес-вплив

Ця вразливість дозволяє зловмисникам з правами контриб'ютора або вище впроваджувати довготривалі скрипти, що можуть викрасти сесійні дані користувачів або змінити контент сайту. Це підвищує ризик компрометації вебресурсу та зниження довіри користувачів. Власникам інфраструктури слід оцінити потенційний вплив на безпеку та репутацію.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна Gutenverse та застосувати їх, якщо вони доступні. Якщо оновлення відсутні, слід обмежити права користувачів до мінімально необхідних, провести аудит логів на предмет підозрілої активності та розглянути тимчасове відключення плагіна. Загалом, слід впровадити заходи з фільтрації та екранування введених даних.

Джерела

• NVD
• Reference
• Reference