El plugin Login with Vipps and MobilePay para WordPress es vulnerable a Cross-Site Scripting almacenado a través del shortcode ‘continue-with-vipps’ en todas las versiones hasta, e incluyendo, la 1.3.3 debido a una insuficiente sanitización de entradas y escape de salida en atributos suministrados por el usuario.
Esto permite a atacantes autenticados, con acceso de nivel de colaborador y superior, inyectar scripts web arbitrarios en páginas que se ejecutarán cada vez que un usuario acceda a una página inyectada. Los usuarios afectados por esta vulnerabilidad deben actualizar el plugin a la última versión disponible lo antes posible. Además, se recomienda a los administradores del sitio que monitoreen de cerca cualquier actividad inusual en las páginas que utilizan el shortcode ‘continue-with-vipps’.
Es fundamental que los usuarios y administradores de sitios WordPress estén al tanto de estas vulnerabilidades y tomen medidas para proteger sus sitios web. Mantener todos los plugins y temas actualizados, así como monitorear de cerca cualquier actividad sospechosa, son prácticas recomendadas para garantizar la seguridad de su sitio.