یک آسیب‌پذیری امنیتی در افزونه WP YouTube Lyte برای سیستم مدیریت محتوای وردپرس شناسایی شده است که می‌تواند منجر به حملات Stored Cross-Site Scripting (XSS) شود. این نقص امنیتی در نسخه‌های پیش از 1.7.31 وجود دارد.
جزئیات فنی آسیب‌پذیری
این مشکل به دلیل عدم پاک‌سازی (Sanitization) و عدم خروج امن (Escape) برخی از ویژگی‌های بلوک‌های جاسازی شده (Embed blocks) یوتیوب پیش از نمایش آن‌ها در ویژگی‌های HTML رخ می‌دهد. در نتیجه، مهاجم می‌تواند کدهای مخرب را در دیتابیس ذخیره کرده و هنگام رندر شدن بلوک توسط مرورگر کاربر، این کدها اجرا شوند.
سطح دسترسی و تاثیر
- سطح دسترسی مورد نیاز: کاربرانی با نقش پایین (مانند Contributor) می‌توانند از این آسیب‌پذیری بهره‌برداری کنند.
- نوع حمله: Stored XSS که به معنای ذخیره شدن کد مخرب در سرور و اجرای آن برای تمامی کاربرانی است که صفحه مربوطه را مشاهده می‌کنند.
- نسخه‌های آسیب‌پذیر: تمامی نسخه‌های پیش از 1.7.31.
راهکار اصلاحی
به کاربران توصیه می‌شود در سریع‌ترین زمان ممکن، افزونه WP YouTube Lyte را به آخرین نسخه منتشر شده (1.7.31 یا جدیدتر) به‌روزرسانی کنند تا این حفره امنیتی بسته شود.
