CVE-2024-7689: luka CSRF i XSS w wtyczce Snapshot Backup dla WordPress

Co wiadomo

Wtyczka Snapshot Backup do WordPressa w wersjach do 2.1.1 nie posiada odpowiednich zabezpieczeń CSRF oraz brak sanitizacji i escapingu danych, co umożliwia atakującym wstrzyknięcie trwałych skryptów XSS poprzez atak CSRF na zalogowanego administratora.

Wpływ biznesowy

Luka ta może pozwolić atakującym na wykonanie złośliwego kodu w kontekście konta administratora WordPress, co może prowadzić do przejęcia kontroli nad witryną lub wycieku danych. Operatorzy stron korzystających z tej wtyczki powinni traktować tę podatność jako średniego ryzyka, zwłaszcza jeśli wtyczka jest aktywna i używana przez administratorów.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Snapshot Backup i ich zastosowanie. W przypadku braku łatki należy ograniczyć dostęp do panelu administracyjnego, monitorować logi pod kątem podejrzanych działań oraz rozważyć tymczasowe wyłączenie wtyczki. Warto również edukować administratorów o ryzyku ataków CSRF i XSS.

Źródła

• NVD
• Reference