Уразливість Stored XSS у плагіні myCred для WordPress через атрибут 'wrap'

Що відомо

Плагін myCred для WordPress, що використовується для системи управління балами, рангами та нагородами, має уразливість збереженого міжсайтового скриптингу (Stored XSS) через атрибут 'wrap' шорткоду. Уразливість дозволяє автентифікованим користувачам з рівнем доступу не нижче контриб'ютора впроваджувати шкідливі скрипти, які виконуються при перегляді сторінок.

Бізнес-вплив

Ця уразливість може призвести до виконання довільних скриптів у браузерах користувачів, що ставить під загрозу безпеку даних та довіру до вебсайту. Для власників інфраструктури це означає потенційні ризики компрометації облікових записів, викрадення сесій або поширення шкідливого коду серед користувачів. Середній рівень критичності вимагає своєчасного реагування для запобігання інцидентам.

Рекомендовані дії адміністратора

Адміністраторам рекомендується перевірити наявність оновлень плагіна myCred від розробника та застосувати їх при наявності. Якщо оновлення недоступні, слід обмежити права користувачів до мінімально необхідних, провести аудит логів на наявність підозрілої активності, а також впровадити додаткові заходи фільтрації та санітизації введених даних. Рекомендується також інформувати користувачів про потенційні ризики.

Джерела

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference