Analytical use of cookies
Вразливість Stored XSS у плагіні Sherk Custom Post Type Displays для WordPress
Stored XSS у плагіні Sherk Custom Post Type Displays (до версії 1.2.1) дозволяє впроваджувати скрипти через атрибут 'title' шорткоду.
- CVSS
- 6.4 MEDIUM
- EPSS
- 10.6%
- Активно використовується
- немає в KEV
- Продукт
- -
Що відомо
Плагін Sherk Custom Post Type Displays для WordPress має вразливість збереженого міжсайтового скриптингу (Stored XSS) через атрибут 'title' шорткоду 'sherkcptdisplays' у версіях до 1.2.1 включно. Недостатня санітизація та екранування введення дозволяє користувачам з рівнем доступу Contributor і вище впроваджувати шкідливі скрипти.
Бізнес-вплив
Ця вразливість може призвести до виконання шкідливих скриптів на сайтах, що використовують плагін, що ставить під загрозу безпеку користувачів і може спричинити компрометацію даних або сесій. Адміністратори сайтів повинні враховувати ризики для репутації та можливі втрати через атаки XSS, особливо якщо на сайті є користувачі з підвищеними правами.
Рекомендовані дії адміністратора
Рекомендується перевірити наявність оновлень плагіна Sherk Custom Post Type Displays та встановити їх у разі доступності. Якщо оновлення відсутні, слід обмежити доступ користувачів з рівнем Contributor і вище до функцій, що використовують цей шорткод, а також провести аудит журналів на предмет підозрілої активності. Загалом, варто зменшити експозицію вразливого функціоналу та контролювати введення даних.