Analityczne wykorzystywanie plików cookies
CVE-2024-10876: Reflected Cross-Site Scripting w wtyczce Charitable – Donation Plugin dla WordPress
Podatność Reflected XSS w wtyczce Charitable WordPress do wersji 1.8.3 umożliwia ataki przez złośliwe linki. Zalecana aktualizacja i monitorowanie.
- CVSS
- 6.1 MEDIUM
- EPSS
- 28.55%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- -
Co wiadomo
Wtyczka Charitable – Donation Plugin dla WordPress do zbierania funduszy z powtarzającymi się darowiznami jest podatna na atak Reflected Cross-Site Scripting (XSS) w wersjach do 1.8.3 włącznie. Luka wynika z niewłaściwego oczyszczania parametrów URL przy użyciu funkcji add_query_arg i remove_query_arg, co umożliwia atakującym wstrzyknięcie złośliwych skryptów.
Wpływ biznesowy
Atakujący mogą wykorzystać tę podatność do wykonania złośliwych skryptów w przeglądarce użytkownika, co może prowadzić do kradzieży danych sesji, przejęcia konta lub innych działań szkodliwych dla użytkowników i reputacji firmy. Zagrożenie dotyczy stron korzystających z podatnej wersji wtyczki, zwłaszcza jeśli użytkownicy są nakłaniani do kliknięcia spreparowanych linków.
Rekomendowane działania administratora
Administratorzy powinni sprawdzić wersję wtyczki Charitable i jak najszybciej zaktualizować ją do najnowszej dostępnej wersji, w której luka została załatana. W przypadku braku aktualizacji warto ograniczyć ekspozycję podatnych funkcji, monitorować logi pod kątem podejrzanych działań oraz edukować użytkowników o ryzyku klikania nieznanych linków.