Уразливість WP Stacker дозволяє CSRF-атаки зі збереженим XSS

Що відомо

Плагін WP Stacker для WordPress версії до 1.8.5 містить уразливість через відсутність перевірки CSRF та недостатню санітизацію, що дозволяє зловмисникам через CSRF-атаку додавати збережені XSS-скрипти від імені адміністратора. Це може призвести до виконання шкідливого коду в обліковому записі адміністратора.

Бізнес-вплив

Для власників сайтів на WordPress, які використовують плагін WP Stacker, ця уразливість може стати причиною компрометації адміністративного облікового запису та подальшого впровадження шкідливого коду. Це підвищує ризик витоку даних, зміни контенту або порушення роботи сайту. Середній рівень небезпеки вимагає уваги для зниження потенційних загроз.

Рекомендовані дії адміністратора

Адміністраторам рекомендується перевірити наявність оновлень плагіна WP Stacker від розробника jankarres і оперативно застосувати їх. Якщо оновлення недоступні, слід обмежити доступ до адміністративної панелі, впровадити додаткові механізми захисту від CSRF, переглянути журнали безпеки на предмет підозрілої активності та пріоритезувати усунення цієї уразливості.

Джерела

• NVD
• Reference