Уразливість Stored XSS у плагіні Paypal Shortcode для WordPress

Що відомо

Плагін Paypal Shortcode для WordPress має уразливість збереженого міжсайтового скриптингу (Stored XSS) через недостатню санітизацію атрибутів 'amount' та 'name' у шорткодах у версіях до 0.3 включно. Атакуючі з рівнем доступу Contributor і вище можуть впроваджувати шкідливі скрипти, які виконуються при перегляді сторінок.

Бізнес-вплив

Ця уразливість дозволяє аутентифікованим користувачам із правами Contributor і вище впроваджувати шкідливі скрипти на сайті, що може призвести до компрометації сесій користувачів, викрадення даних або інших атак через браузер. Власники сайтів на WordPress, які використовують цей плагін, ризикують втратити довіру користувачів та зазнати репутаційних втрат.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна від розробника і негайно застосувати їх. Якщо оновлення недоступні, слід обмежити доступ користувачів до ролей Contributor і вище, провести аудит логів на наявність підозрілої активності та розглянути тимчасове відключення плагіна для зниження ризику.

Джерела

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference