Уразливість Stored XSS у плагіні RTMKit для WordPress через параметр 'Background Text'

Що відомо

Плагін RTMKit для WordPress версій до 2.0.7 включно має уразливість типу Stored Cross-Site Scripting у віджеті Advanced Heading через недостатню обробку параметра 'Background Text'. Аутентифіковані користувачі з рівнем доступу не нижче контриб'ютора можуть впроваджувати шкідливі скрипти, які виконуються при перегляді сторінок.

Бізнес-вплив

Ця уразливість дозволяє зловмисникам з обмеженим доступом впроваджувати довготривалі скрипти, що можуть викрасти сесійні дані користувачів або змінити відображення сторінок, що негативно впливає на безпеку та довіру користувачів. Власники сайтів на WordPress повинні враховувати ризики компрометації контенту та потенційні репутаційні втрати.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна RTMKit від розробника та застосувати їх. Якщо оновлення недоступні, слід обмежити права користувачів до мінімально необхідних, провести аудит логів на предмет підозрілої активності та розглянути тимчасове відключення уразливого віджету. Також варто впровадити додаткові заходи фільтрації введених даних.

Джерела

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference