Уразливість Stored XSS у плагіні Presto Player для WordPress

Що відомо

Плагін Presto Player для WordPress версії до 4.2.0 включно має уразливість збереженого міжсайтового скриптингу (Stored XSS) через параметр 'link_url' шорткоду [presto_player_overlay]. Недостатня санітизація та екранування дозволяють зловмисникам вставляти шкідливі JavaScript URI, які виконуються при перегляді сторінок.

Бізнес-вплив

Уразливість дозволяє користувачам з рівнем доступу не нижче контриб’ютора впроваджувати довільні скрипти на сайтах, що може призвести до викрадення сесій, зміни контенту або фішингових атак. Це створює ризики для безпеки веб-ресурсів та довіри користувачів, особливо для сайтів з багатьма редакторами.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна Presto Player від розробника та встановити їх. Якщо оновлення недоступні, обмежте доступ користувачів з рівнем контриб’ютора і вище, проведіть аудит журналів на предмет підозрілої активності та мінімізуйте використання шорткоду [presto_player_overlay].

Джерела

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference