Luka CSRF i XSS w wtyczce WP Fastest Cache przed wersją 0.9.5

Co wiadomo

Wtyczka WP Fastest Cache dla WordPressa w wersjach przed 0.9.5 nie posiada weryfikacji CSRF w akcji AJAX wpfc_save_cdn_integration oraz nie sanitizuje poprawnie niektórych opcji, co może pozwolić atakującym na wykonanie ataku Cross-Site Scripting przez zalogowanych użytkowników o wysokich uprawnieniach.

Wpływ biznesowy

Luka może prowadzić do wykonania złośliwego kodu JavaScript w kontekście przeglądarki administratora WordPressa, co zagraża bezpieczeństwu witryny i danych. Atakujący mogą wykorzystać tę podatność do przejęcia sesji lub manipulacji ustawieniami wtyczki, co może skutkować dalszymi naruszeniami bezpieczeństwa.

Rekomendowane działania administratora

Zaleca się jak najszybszą aktualizację wtyczki WP Fastest Cache do wersji 0.9.5 lub nowszej udostępnionej przez producenta. W międzyczasie warto ograniczyć dostęp do panelu administracyjnego tylko do zaufanych użytkowników, monitorować logi pod kątem podejrzanych działań oraz stosować ogólne zasady minimalizacji ryzyka, takie jak ochrona przed CSRF i XSS.

Źródła

• NVD
• Reference
• Reference