Вразливість Stored XSS у плагіні Dideo для WordPress через shortcode 'dideo'

Що відомо

Плагін Dideo для WordPress версії 1.0 має вразливість збереженого міжсайтового скриптингу (Stored XSS) через недостатню санітизацію атрибута 'id' у shortcode 'dideo'. Атакуючі з рівнем доступу не нижче контриб'ютора можуть впроваджувати шкідливі скрипти, які виконуватимуться при перегляді сторінок.

Бізнес-вплив

Ця вразливість дозволяє авторизованим користувачам із правами контриб'ютора та вище впроваджувати довготривалі скрипти, що можуть викрасти сесійні дані або змінити вміст сторінок. Це підвищує ризик компрометації вебсайту та довіри користувачів, що негативно впливає на безпеку та репутацію бізнесу.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна Dideo від розробника та застосувати їх. Якщо оновлень немає, обмежити права користувачів до мінімально необхідних, провести аудит логів на ознаки експлуатації, а також розглянути тимчасове відключення плагіна для зниження ризику.

Джерела

• NVD
• Reference
• Reference
• Reference