Вразливість Stored XSS у плагіні GNTT Post Title Ticker для WordPress

Що відомо

Плагін GNTT Post Title Ticker версії 1.0 для WordPress має вразливість збереженого міжсайтового скриптингу (Stored XSS) через недостатню санітизацію та екранування атрибутів шорткодів. Атакуючі з рівнем доступу не нижче контриб’ютора можуть впроваджувати шкідливі скрипти, які виконуватимуться при перегляді сторінок.

Бізнес-вплив

Вразливість дозволяє авторизованим користувачам із правами контриб’ютора та вище впроваджувати довготривалі скрипти, що можуть викрасти сесійні дані або змінити контент сторінок. Це створює ризики компрометації користувачів сайту та підриває довіру до вебресурсу. Інфраструктура, що використовує цей плагін, може зазнати репутаційних та безпекових збитків.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна від розробника та застосувати їх. Якщо оновлень немає, обмежте доступ користувачів до ролей з правами контриб’ютора і вище, перегляньте журнали на предмет підозрілої активності, а також розгляньте тимчасове відключення плагіна. Загалом, слід зменшити експозицію вразливих компонентів і контролювати введення даних.

Джерела

• NVD
• Reference
• Reference
• Reference