CVE-2024-13096: luka XSS w wtyczce WP Finance dla WordPress

Co wiadomo

Wtyczka WP Finance do WordPressa w wersji do 1.3.6 nie posiada odpowiednich zabezpieczeń CSRF oraz brak w niej sanitizacji i escapingu danych, co umożliwia atakującym wstrzyknięcie trwałego kodu XSS poprzez atak CSRF na zalogowanego administratora.

Wpływ biznesowy

Luka ta może pozwolić atakującym na wykonanie złośliwego kodu w kontekście konta administratora, co może prowadzić do przejęcia kontroli nad witryną lub kradzieży danych. Operatorzy stron korzystających z tej wtyczki powinni traktować tę podatność jako istotne zagrożenie dla integralności i bezpieczeństwa swoich systemów.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki WP Finance u dostawcy oraz ich wdrożenie. W międzyczasie warto ograniczyć dostęp administracyjny, monitorować logi pod kątem podejrzanych działań oraz stosować mechanizmy ochrony przed CSRF i XSS. Priorytetem jest szybka weryfikacja i wdrożenie poprawek zabezpieczeń.

Źródła

• NVD
• Reference