Вразливість Stored XSS у плагіні Easy Prism Syntax Highlighter для WordPress

Що відомо

Плагін Easy Prism Syntax Highlighter для WordPress версій до 1.0.2 включно має вразливість збереженого міжсайтового скриптингу (Stored XSS) через недостатню санітизацію атрибутів shortcode 'code' та 'c'. Зловмисники з рівнем доступу не нижче контриб'ютора можуть впроваджувати шкідливі скрипти, які виконуються при перегляді сторінок.

Бізнес-вплив

Ця вразливість дозволяє аутентифікованим користувачам із правами контриб'ютора та вище впроваджувати довготривалі скрипти, що можуть викрасти сесійні дані або змінити вміст сторінок, що негативно впливає на безпеку вебсайту та довіру користувачів. Власникам інфраструктури слід оцінити ризики та пріоритезувати оновлення або інші заходи захисту.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна Easy Prism Syntax Highlighter та встановити їх, якщо доступні. Якщо оновлення відсутні, обмежте права користувачів до рівня нижче контриб'ютора, перевірте журнали на ознаки експлуатації та розгляньте тимчасове відключення плагіна для зниження ризику.

Джерела

• NVD
• Reference
• Reference
• Reference