Уразливість Stored XSS у плагіні Google+ Link Name для WordPress

Що відомо

Плагін Google+ Link Name для WordPress версії 1.0 і нижче містить уразливість збереженого міжсайтового скриптингу (Stored XSS) через недостатню санітизацію атрибутів 'id' та 'name' у шорткоді 'gplusnamelink'. Атакуючі з рівнем доступу не нижче контриб’ютора можуть впроваджувати шкідливі скрипти, які виконуються при перегляді сторінок.

Бізнес-вплив

Ця уразливість дозволяє зловмисникам впроваджувати довготривалі скрипти на сайтах, що може призвести до викрадення сесій користувачів, зміни контенту або інших атак, що впливають на довіру користувачів і безпеку даних. Власники сайтів і адміністратори повинні враховувати ризики для безпеки веб-інфраструктури та репутації бізнесу.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна від розробника та застосувати їх. Якщо оновлення недоступні, слід обмежити доступ користувачів до рівня нижче контриб’ютора, провести аудит логів на наявність підозрілої активності, а також розглянути тимчасове відключення плагіна або заміну на безпечний аналог.

Джерела

• NVD
• Reference
• Reference
• Reference