CVE-2024-3823
NiskieCVSS 2.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 12 - wyżej niż 12% wszystkich znanych CVE
Streszczenie
Wtyczka Base64 Encoder/Decoder dla WordPress do wersji 0.9.2 nie posiada zabezpieczenia CSRF przy aktualizacji ustawień oraz brakuje sanityzacji i eskejpowania, co pozwala atakującym na zmuszenie zalogowanego administratora do dodania trwałych ładunków XSS poprzez atak CSRF.
Ocena ryzyka
Atakujący może wykorzystać CSRF do wstrzyknięcia złośliwego skryptu, który będzie wykonywany w przeglądarkach innych użytkowników, co może prowadzić do kradzieży sesji, przekierowań lub kradzieży danych.
Rekomendacja
Zaktualizuj wtyczkę Base64 Encoder/Decoder do najnowszej wersji lub zastosuj odpowiednie zabezpieczenia CSRF oraz sanityzację danych wejściowych.
Oryginalny opis (angielski, źródło NVD)
The Base64 Encoder/Decoder WordPress plugin through 0.9.2 does not have CSRF check when updating its settings, and is missing sanitisation as well as escaping, which could allow attackers to make logged in admin add Stored XSS payloads via a CSRF attack