CVE-2024-8243: podatność XSS w wtyczce WordPress Plugin Upgrade Time Out

Co wiadomo

Wtyczka WordPress Plugin Upgrade Time Out do wersji 1.0 nie posiada odpowiednich zabezpieczeń CSRF oraz brak w niej sanitizacji i escapingu danych. Może to pozwolić atakującym na wstrzyknięcie trwałych ładunków XSS poprzez atak CSRF, jeśli administrator jest zalogowany.

Wpływ biznesowy

Podatność umożliwia atakującym wykonanie złośliwego kodu w kontekście przeglądarki administratora WordPress, co może prowadzić do przejęcia kontroli nad panelem administracyjnym lub eskalacji uprawnień. Operatorzy CMS powinni traktować tę lukę jako średniego ryzyka, zwłaszcza w środowiskach z wieloma administratorami.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki u dostawcy oraz ich wdrożenie. W międzyczasie warto ograniczyć dostęp do panelu administracyjnego, monitorować logi pod kątem podejrzanej aktywności oraz stosować dodatkowe zabezpieczenia CSRF i filtrowanie danych wejściowych.

Źródła

• NVD
• Reference