Уразливість Stored XSS у плагіні Faces of Users для WordPress

Що відомо

Плагін Faces of Users для WordPress має уразливість збереженого міжсайтового скриптингу (Stored XSS) через атрибут 'default' шорткоду 'facesofusers' у версіях до 0.0.3 включно. Це дозволяє автентифікованим користувачам з рівнем доступу Contributor і вище впроваджувати довільні скрипти, які виконуються при перегляді сторінок.

Бізнес-вплив

Уразливість може призвести до виконання шкідливих скриптів на сайті, що ставить під загрозу безпеку користувачів і цілісність вебресурсу. Це може спричинити крадіжку сесій, зміну контенту або інші атаки, що впливають на довіру до сайту та його репутацію. Власникам інфраструктури слід враховувати ризики, пов’язані з впровадженням коду від користувачів з обмеженим доступом.

Рекомендовані дії адміністратора

Рекомендується оновити плагін Faces of Users до останньої версії, в якій усунено цю уразливість. Якщо оновлення недоступне, слід обмежити права користувачів до рівня нижче Contributor, перевірити журнали на наявність підозрілої активності, а також розглянути можливість тимчасового відключення плагіна. Загалом, слід регулярно перевіряти наявність оновлень та впроваджувати заходи з мінімізації впливу уразливостей.

Джерела

• NVD
• Reference
• Reference
• Reference