Уразливість Stored XSS у плагіні WP Visitor Statistics для WordPress

Що відомо

Плагін WP Visitor Statistics (Real Time Traffic) для WordPress має уразливість збереженого міжсайтового скриптингу (Stored XSS) через shortcode 'wsm_showDayStatsGraph' у версіях до 8.4 включно. Це дозволяє автентифікованим користувачам з рівнем доступу не нижче контриб’ютора впроваджувати шкідливі скрипти, які виконуються при перегляді сторінок.

Бізнес-вплив

Уразливість може призвести до виконання довільного коду у браузерах користувачів, що підвищує ризик компрометації облікових записів, викрадення сесій або розповсюдження шкідливого контенту. Власникам сайтів на WordPress слід врахувати потенційний вплив на безпеку користувачів і репутацію ресурсу.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна WP Visitor Statistics та застосувати їх, якщо вони доступні. Якщо оновлення відсутні, слід обмежити доступ користувачів з рівнем контриб’ютора і вище, провести аудит логів на предмет підозрілої активності та розглянути тимчасове відключення плагіна для зниження ризиків.

Джерела

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference