Уразливість Reflected XSS у плагіні Taskbuilder для WordPress до версії 5.0.8

Що відомо

Плагін Taskbuilder для WordPress версій до 5.0.8 не коректно очищує URL-параметр перед вставкою у вбудований JavaScript на сторінках з його шорткодами, що призводить до вразливості Reflected Cross-Site Scripting (XSS). Ця уразливість може бути використана проти будь-якого зареєстрованого користувача.

Бізнес-вплив

Вразливість Reflected XSS дозволяє зловмисникам виконувати шкідливий скрипт у браузері користувача, що може призвести до викрадення сесій, зміни відображення сторінок або інших небажаних дій. Для власників сайтів на WordPress із встановленим плагіном Taskbuilder це означає підвищений ризик компрометації облікових записів та втрати довіри користувачів.

Рекомендовані дії адміністратора

Рекомендується оновити плагін Taskbuilder до версії 5.0.8 або новішої, де ця уразливість виправлена. Якщо оновлення наразі неможливе, слід обмежити доступ до шорткодів плагіна лише довіреним користувачам, переглянути журнали безпеки на предмет підозрілої активності та мінімізувати вплив шляхом зменшення прав користувачів. Важливо також регулярно перевіряти оновлення від розробника плагіна.

Джерела

• NVD
• Reference