Уразливість Stored XSS у темі The7 для WordPress через shortcode dt_default_button

Що відомо

Тема The7 для WordPress містить уразливість збереженого міжсайтового скриптингу (Stored XSS) через shortcode 'dt_default_button' у версіях до 14.3.2 включно. Недостатня санітизація та екранування параметра 'title' у shortcode 'link' дозволяє автентифікованим користувачам з рівнем Contributor і вище впроваджувати довільні скрипти.

Бізнес-вплив

Уразливість може призвести до виконання шкідливих скриптів на сторінках сайту, що створює ризики компрометації даних користувачів, викрадення сесій або поширення шкідливого коду. Це негативно впливає на довіру користувачів та безпеку вебресурсу, особливо якщо доступ до редагування мають кілька користувачів.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень теми The7 від розробника та застосувати їх, якщо доступні. Якщо оновлення відсутні, обмежте права користувачів до мінімально необхідних, ретельно перевіряйте введені дані та ведіть моніторинг логів на предмет підозрілої активності. Також варто розглянути тимчасове відключення shortcode 'dt_default_button' до усунення проблеми.

Джерела

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference