CVE-2023-3356
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 12 - wyżej niż 12% wszystkich znanych CVE
Streszczenie
Wtyczka Subscribers Text Counter dla WordPressa w wersjach przed 1.7.1 nie posiada weryfikacji CSRF podczas aktualizacji ustawień, co może umożliwić atakującym zmianę tych ustawień przez zaatakowanego administratora. Brak sanitizacji i ucieczki danych prowadzi również do możliwości wystąpienia Stored Cross-Site Scripting.
Ocena ryzyka
Brak odpowiednich zabezpieczeń może prowadzić do nieautoryzowanych zmian w ustawieniach wtyczki przez atakujących, co zagraża integralności systemu. Dodatkowo, możliwość wystąpienia Stored XSS stwarza ryzyko dla użytkowników odwiedzających zainfekowane strony.
Rekomendacja
Zaleca się aktualizację wtyczki do wersji 1.7.1 lub nowszej, aby usunąć lukę w zabezpieczeniach. Dodatkowo, warto wdrożyć dodatkowe mechanizmy zabezpieczające przed atakami CSRF.
Oryginalny opis (angielski, źródło NVD)
The Subscribers Text Counter WordPress plugin before 1.7.1 does not have CSRF check in place when updating its settings, which could allow attackers to make a logged in admin change them via a CSRF attack, which also lead to Stored Cross-Site Scripting due to the lack of sanitisation and escaping