Analityczne wykorzystywanie plików cookies
Luka XSS w wtyczce WordPress Stripe Payments 2.0.39
Wtyczka WordPress Stripe Payments 2.0.39 ma lukę XSS umożliwiającą atakującym wykonanie złośliwego kodu w przeglądarce administratora. Sprawdź zalecenia bezpieczeństwa.
- CVSS
- 5.1 MEDIUM
- EPSS
- 8.55%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- -
Co wiadomo
Wtyczka WordPress Stripe Payments w wersji 2.0.39 zawiera lukę typu stored cross-site scripting (XSS), umożliwiającą uwierzytelnionym atakującym wstrzyknięcie złośliwego kodu JavaScript poprzez parametr AcceptStripePayments-settings[currency_code]. Skutkiem jest wykonanie nieautoryzowanego skryptu w przeglądarce administratora podczas przeglądania ustawień.
Wpływ biznesowy
Luka ta może prowadzić do przejęcia sesji administratora, modyfikacji ustawień strony lub innych działań z uprawnieniami administratora, co zagraża integralności i bezpieczeństwu witryny. Atakujący mogą wykorzystać tę podatność do eskalacji uprawnień lub rozprzestrzeniania złośliwego oprogramowania w środowisku WordPress.
Rekomendowane działania administratora
Administratorzy powinni niezwłocznie zweryfikować dostępność aktualizacji wtyczki Stripe Payments i zastosować je, jeśli są dostępne. W międzyczasie zaleca się ograniczenie dostępu do panelu administracyjnego, monitorowanie logów pod kątem podejrzanych żądań POST do /wp-admin/options.php oraz przegląd i weryfikację ustawień waluty w panelu. Warto również rozważyć wdrożenie dodatkowych mechanizmów zabezpieczających przed XSS.