Уразливість Stored XSS у плагіні Coachific Shortcode для WordPress

Що відомо

Плагін Coachific Shortcode для WordPress має уразливість збереженого міжсайтового скриптингу (Stored XSS) через атрибут 'userhash' шорткоду у версіях до 1.0 включно. Недостатня санітизація та екранування введених даних дозволяє автентифікованим користувачам з рівнем Contributor і вище впроваджувати шкідливі скрипти.

Бізнес-вплив

Уразливість може призвести до виконання довільних JavaScript-кодів на сторінках сайту, що ставить під загрозу безпеку користувачів і цілісність вебресурсу. Це може спричинити викрадення сесій, зміну контенту або інші атаки, що впливають на довіру до сайту та його функціональність.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна Coachific Shortcode від розробника та негайно їх застосувати. Якщо оновлень немає, слід обмежити доступ користувачів з рівнем Contributor і вище, провести аудит логів на предмет підозрілої активності та розглянути тимчасове відключення плагіна для зниження ризику.

Джерела

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference