Уразливість Stored XSS у плагіні Website LLMs.txt для WordPress

Що відомо

Плагін Website LLMs.txt для WordPress має уразливість збереженого міжсайтового скриптингу (Stored XSS) через недостатню санітизацію введених даних у налаштуваннях адміністратора. Уразливість стосується мультисайтових інсталяцій та випадків, коли параметр unfiltered_html вимкнено.

Бізнес-вплив

Зловмисники з правами адміністратора можуть впроваджувати довільні скрипти, які виконуватимуться при доступі користувачів до заражених сторінок. Це може призвести до компрометації облікових записів, викрадення сесій або інших атак на користувачів. Уразливість має середній рівень ризику та впливає на мультисайтові інсталяції WordPress із відповідними налаштуваннями.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна Website LLMs.txt від розробника та застосувати їх. Якщо оновлення недоступні, обмежте доступ до налаштувань адміністратора, перевірте журнали на ознаки зловмисної активності та розгляньте можливість тимчасового відключення плагіна на мультисайтових інсталяціях. Також варто переглянути налаштування unfiltered_html та забезпечити належну фільтрацію введених даних.

Джерела

• NVD
• Reference
• Reference