WP Statistics podatny na przechowywany XSS przez parametr utm_source

Co wiadomo

Wtyczka WP Statistics dla WordPressa do wersji 14.16.4 włącznie jest podatna na przechowywany Cross-Site Scripting (XSS) poprzez parametr 'utm_source'. Brak odpowiedniej sanitacji i ucieczki danych umożliwia wstrzyknięcie złośliwego kodu wykonywanego na stronach administracyjnych.

Wpływ biznesowy

Atakujący bez uwierzytelnienia mogą wstrzyknąć złośliwe skrypty, które wykonają się podczas przeglądania przez administratorów stron z analizami ruchu i odnośników. Może to prowadzić do przejęcia sesji, kradzieży danych lub innych działań szkodliwych dla integralności i bezpieczeństwa witryny.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki WP Statistics i ich instalację. W przypadku braku łatki należy ograniczyć dostęp do stron administracyjnych, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie funkcji analiz odnośników. Priorytetowo traktuj aktualizacje i audyt bezpieczeństwa wtyczek WordPress.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference