CVE-2024-3058: luka CSRF i XSS w wtyczce ENL Newsletter dla WordPress

Co wiadomo

Wtyczka ENL Newsletter do WordPressa w wersjach do 1.0.1 nie posiada odpowiednich zabezpieczeń CSRF oraz brak sanitizacji i escapingu danych, co umożliwia atakującym wstrzyknięcie trwałych skryptów XSS poprzez atak CSRF na zalogowanego administratora.

Wpływ biznesowy

Luka ta może pozwolić atakującym na wykonanie złośliwego kodu w kontekście przeglądarki administratora WordPressa, co może prowadzić do przejęcia kontroli nad panelem administracyjnym lub eskalacji uprawnień. Zagrożenie jest średnie, ale wymaga uwagi szczególnie w środowiskach, gdzie wtyczka ENL Newsletter jest używana i administratorzy często logują się do panelu.

Rekomendowane działania administratora

Zaleca się sprawdzenie dostępności aktualizacji wtyczki ENL Newsletter i ich jak najszybsze zastosowanie. W przypadku braku łatki należy ograniczyć dostęp do panelu administracyjnego, monitorować logi pod kątem podejrzanych działań oraz rozważyć wdrożenie dodatkowych zabezpieczeń CSRF i filtrów XSS. Priorytetem jest szybka weryfikacja i minimalizacja ryzyka ataku.

Źródła

• NVD
• Reference