Уразливість Stored XSS у плагіні CodeColorer для WordPress

Що відомо

Плагін CodeColorer для WordPress версій до 0.10.1 включно має уразливість збереженого міжсайтового скриптингу (Stored XSS) через параметр 'class' у шорткоді 'cc' коментарів. Це дозволяє неавторизованим зловмисникам впроваджувати довільні скрипти, які виконуються при перегляді сторінок з інфікованими коментарями.

Бізнес-вплив

Уразливість може призвести до виконання шкідливих скриптів у браузерах користувачів, що відкриває шлях до крадіжки сесій, фішингу або інших атак. Власники сайтів на WordPress з увімкненими коментарями та дозволом гостьових коментарів особливо ризикують. Це може негативно вплинути на довіру користувачів та безпеку даних.

Рекомендовані дії адміністратора

Рекомендується оновити плагін CodeColorer до останньої версії, де ця уразливість виправлена. Якщо оновлення неможливе, слід тимчасово вимкнути коментарі або гостьові коментарі, перевірити логи на ознаки експлуатації та обмежити доступ до функцій коментування. Загалом, слід регулярно перевіряти наявність оновлень та застосовувати їх для зниження ризиків.

Джерела

• NVD
• Reference
• Reference