Analityczne wykorzystywanie plików cookies
CVE-2024-11607: luka XSS w wtyczce GTPayment Donations dla WordPress
Wtyczka GTPayment Donations do WordPressa ma lukę XSS przez brak ochrony CSRF i sanitizacji, co zagraża bezpieczeństwu administratorów.
- CVSS
- 6.1 MEDIUM
- EPSS
- 7.67%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- gtpayment donations
Co wiadomo
Wtyczka GTPayment Donations do WordPressa w wersji do 1.0.0 nie posiada odpowiedniej ochrony CSRF oraz brak w niej sanitizacji i escapingu danych, co umożliwia atakującym wstrzyknięcie trwałego XSS poprzez atak CSRF na zalogowanego administratora.
Wpływ biznesowy
Luka ta może pozwolić atakującym na wykonanie złośliwego kodu w kontekście przeglądarki administratora WordPressa, co może prowadzić do przejęcia kontroli nad panelem administracyjnym lub eskalacji uprawnień. Operatorzy stron korzystających z tej wtyczki powinni traktować tę podatność jako istotne zagrożenie dla integralności i bezpieczeństwa swoich systemów.
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki GTPayment Donations u dostawcy oraz jej instalację. W przypadku braku łatki należy ograniczyć dostęp do panelu administracyjnego, monitorować logi pod kątem podejrzanych działań oraz rozważyć wdrożenie dodatkowych mechanizmów ochrony przed CSRF i XSS. Priorytetowo należy zabezpieczyć systemy, na których działa ta wtyczka.