Уразливість CSRF та збережений XSS у плагіні iTracker360 для WordPress

Що відомо

Плагін iTracker360 для WordPress містить уразливість Cross-Site Request Forgery (CSRF), що призводить до збереженого Cross-Site Scripting (XSS) у версіях до 2.2.0 включно. Відсутність перевірки nonce та недостатня санітизація введених даних дозволяють неавторизованим зловмисникам впроваджувати шкідливі скрипти через підроблені запити, якщо адміністратор виконає певну дію, наприклад, клікне на посилання.

Бізнес-вплив

Ця уразливість може дозволити зловмисникам виконувати довільний скрипт у контексті сайту, що може призвести до викрадення сесій, зміни налаштувань або інших небажаних дій. Для власників інфраструктури це означає підвищений ризик компрометації адміністративних облікових записів та потенційних втрат даних або контролю над сайтом.

Рекомендовані дії адміністратора

Адміністраторам рекомендується перевірити наявність оновлень плагіна iTracker360 та встановити останню версію, де ця уразливість виправлена. Якщо оновлення недоступне, слід обмежити доступ до адміністративної панелі, ретельно перевіряти журнали на підозрілі дії та інформувати користувачів про небезпеку кліків на неперевірені посилання. Також варто розглянути тимчасове відключення плагіна до усунення проблеми.

Джерела

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference