Luka CSRF i XSS w wtyczce Music Request Manager dla WordPress

Co wiadomo

Wtyczka Music Request Manager do WordPressa w wersji do 1.3 nie posiada odpowiednich zabezpieczeń przed atakami CSRF oraz brak sanitizacji i escapingu danych, co umożliwia atakującym wstrzyknięcie trwałego kodu XSS przez zalogowanego administratora.

Wpływ biznesowy

Luka może pozwolić atakującym na wykonanie złośliwego kodu w kontekście przeglądarki administratora WordPressa, co może prowadzić do przejęcia kontroli nad panelem zarządzania stroną lub kradzieży danych. Zagrożenie jest szczególnie istotne dla właścicieli stron korzystających z tej wtyczki, gdyż może wpłynąć na integralność i bezpieczeństwo witryny.

Rekomendowane działania administratora

Administratorzy powinni jak najszybciej sprawdzić dostępność aktualizacji wtyczki Music Request Manager u dostawcy oraz ją zastosować. W międzyczasie zaleca się ograniczenie dostępu do panelu administratora, monitorowanie logów pod kątem podejrzanych działań oraz rozważenie wdrożenia dodatkowych mechanizmów ochrony przed CSRF i XSS.

Źródła

• NVD
• Reference