Уразливість Stored XSS у плагіні LightPress Lightbox для WordPress

Що відомо

Плагін LightPress Lightbox для WordPress має уразливість збереженого міжсайтового скриптингу (Stored XSS) через атрибут group у шорткоді [gallery] у версіях до 2.3.4 включно. Зловмисники з рівнем доступу Contributor і вище можуть вставляти шкідливі скрипти, які виконуватимуться при перегляді сторінок.

Бізнес-вплив

Ця уразливість дозволяє автентифікованим користувачам із правами Contributor і вище впроваджувати довготривалі скрипти, що можуть викрасти сесійні дані або змінити контент сторінок. Це підвищує ризик компрометації сайту та довіри користувачів, що може негативно вплинути на репутацію та безпеку вебресурсу.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна LightPress Lightbox та встановити їх, якщо доступні. Якщо оновлення відсутні, обмежте права користувачів до мінімально необхідних, ретельно перевіряйте введені дані та переглядайте журнали на предмет підозрілої активності. Також варто розглянути тимчасове відключення плагіна до усунення вразливості.

Джерела

• NVD
• Reference
• Reference
• Reference
• Reference