Luka CSRF i XSS w wtyczce WP-Invoice do WordPressa

Co wiadomo

Wtyczka WP-Invoice do WordPressa w wersjach do 4.3.1 nie posiada mechanizmu ochrony CSRF podczas aktualizacji ustawień oraz nieprawidłowo oczyszcza i zabezpiecza niektóre dane, co umożliwia zalogowanemu administratorowi wstrzyknięcie złośliwego kodu XSS.

Wpływ biznesowy

Atakujący z uprawnieniami administratora mogą zmienić ustawienia wtyczki i wprowadzić złośliwy kod, co może prowadzić do przejęcia sesji lub innych ataków na użytkowników witryny. Właściciele stron korzystających z WP-Invoice powinni zwrócić uwagę na potencjalne ryzyko naruszenia integralności i bezpieczeństwa danych.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki WP-Invoice u dostawcy oraz ich wdrożenie. W międzyczasie warto ograniczyć dostęp administratorów do niezbędnego minimum, monitorować logi pod kątem podejrzanych zmian oraz rozważyć zastosowanie dodatkowych mechanizmów ochrony przed CSRF i XSS.

Źródła

• NVD
• Reference