CVE-2024-5003: luka CSRF i XSS w wtyczce WP Stacker dla WordPress

Co wiadomo

Wtyczka WP Stacker do WordPressa w wersjach do 1.8.5 nie posiada odpowiednich zabezpieczeń CSRF oraz brak sanitizacji i escapingu danych, co umożliwia atakującym zalogowanym administratorom wprowadzenie trwałych ładunków XSS poprzez atak CSRF.

Wpływ biznesowy

Luka może prowadzić do trwałego wstrzyknięcia złośliwego kodu JavaScript w panelu administracyjnym WordPress, co zagraża bezpieczeństwu witryny i danych użytkowników. Atakujący mogą wykorzystać tę podatność do przejęcia sesji administratora lub eskalacji uprawnień, co wpływa na integralność i dostępność systemu.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki WP Stacker u dostawcy oraz ich wdrożenie. W międzyczasie warto ograniczyć dostęp do panelu administracyjnego, monitorować logi pod kątem podejrzanych działań oraz stosować dodatkowe zabezpieczenia przeciw CSRF i XSS.

Źródła

• NVD
• Reference