Уразливість Stored XSS у плагіні Advanced Custom Fields: Font Awesome для WordPress

Що відомо

Плагін Advanced Custom Fields: Font Awesome для WordPress версій до 5.0.2 включно містить уразливість збереженого міжсайтового скриптингу (Stored XSS) через недостатню перевірку JSON-даних і небезпечне формування HTML на клієнтській стороні. Атакуючі з рівнем доступу не нижче підписника можуть впроваджувати шкідливі скрипти, які виконуються при перегляді сторінок.

Бізнес-вплив

Ця уразливість дозволяє зловмисникам впроваджувати довготривалі скрипти, що можуть викрасти сесійні дані користувачів або змінити відображення сторінок, що негативно впливає на безпеку та довіру користувачів. Власники сайтів на WordPress повинні врахувати ризики компрометації даних та потенційного порушення роботи сервісів.

Рекомендовані дії адміністратора

Рекомендується оновити плагін Advanced Custom Fields: Font Awesome до останньої версії, що містить виправлення. Якщо оновлення наразі недоступне, слід обмежити права користувачів, перевірити журнали на наявність підозрілої активності, а також зменшити експозицію вразливих сторінок. Важливо регулярно моніторити оновлення від розробника плагіна.

Джерела

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference