CVE-2020-36751: podatność Cross-Site Request Forgery w wtyczce Coupon Creator dla WordPress

Co wiadomo

Wtyczka Coupon Creator dla WordPress w wersjach do 3.1 włącznie jest podatna na atak Cross-Site Request Forgery (CSRF) z powodu braku lub nieprawidłowej walidacji nonce w funkcji save_meta(). Pozwala to nieautoryzowanym atakującym na zapisanie pól meta poprzez spreparowane żądanie, jeśli uda im się nakłonić administratora do wykonania określonej akcji, np. kliknięcia w link.

Wpływ biznesowy

Podatność ta może umożliwić atakującym modyfikację danych meta wtyczki bez uprawnień, co może prowadzić do nieautoryzowanych zmian w konfiguracji lub funkcjonalności strony. Dla operatorów IT i właścicieli infrastruktury oznacza to ryzyko ingerencji w działanie serwisu oraz potencjalne naruszenie integralności danych, co wymaga szybkiej reakcji i oceny ryzyka.

Rekomendowane działania administratora

Zaleca się sprawdzenie dostępności aktualizacji wtyczki Coupon Creator u jej dostawcy i niezwłoczne zastosowanie poprawek. W przypadku braku łatki należy ograniczyć ekspozycję serwisu, monitorować logi pod kątem podejrzanych działań oraz edukować administratorów w zakresie unikania klikania w podejrzane linki. Priorytetowo traktuj ocenę ryzyka i wdrożenie środków zapobiegawczych.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference