CVE-2024-3076: luka XSS w wtyczce mm-email2image dla WordPress

Co wiadomo

Wtyczka mm-email2image do WordPress w wersji do 0.2.5 nie posiada odpowiednich zabezpieczeń CSRF oraz brak sanitizacji i escapingu danych, co umożliwia atakującym wstrzyknięcie trwałego kodu XSS poprzez atak CSRF na zalogowanego administratora.

Wpływ biznesowy

Luka może pozwolić atakującym na wykonanie złośliwego kodu w kontekście przeglądarki administratora WordPress, co może prowadzić do przejęcia kontroli nad panelem administracyjnym lub eskalacji uprawnień. Wpływa to na bezpieczeństwo witryny i może skutkować utratą danych lub reputacji.

Rekomendowane działania administratora

Administratorzy powinni jak najszybciej sprawdzić dostępność aktualizacji wtyczki mm-email2image u jej dostawcy i zastosować je. W międzyczasie zaleca się ograniczenie dostępu do panelu administracyjnego, monitorowanie logów pod kątem podejrzanej aktywności oraz weryfikację i oczyszczenie danych wprowadzanych przez użytkowników.

Źródła

• NVD
• Reference