Wielokrotne XSS w wtyczce Contests by Rewards Fuel dla WordPress

Co wiadomo

Wtyczka Contests by Rewards Fuel dla WordPress do wersji 2.0.64 jest podatna na przechowywany atak Cross-Site Scripting (XSS) poprzez parametr 'update_rewards_fuel_api_key'. Atakujący z uprawnieniami co najmniej na poziomie współpracownika mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Podatność umożliwia atakującym z dostępem do panelu WordPress na wstrzyknięcie złośliwego kodu, co może prowadzić do przejęcia sesji użytkowników, kradzieży danych lub dalszych ataków na infrastrukturę. Może to wpłynąć na reputację firmy oraz bezpieczeństwo danych klientów i pracowników.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Contests by Rewards Fuel i ich instalację. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie wtyczki. Regularna weryfikacja i audyt bezpieczeństwa CMS jest wskazana.

Źródła

• NVD
• Reference
• Reference