Analityczne wykorzystywanie plików cookies
CVE-2023-2919: Luka CSRF w wtyczce Tutor LMS dla WordPress
Podatność CSRF w Tutor LMS do WordPressa pozwala na nieautoryzowane włączanie/wyłączanie dodatków. Sprawdź zalecenia bezpieczeństwa.
- CVSS
- 4.3 MEDIUM
- EPSS
- 10.91%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- tutor lms
Co wiadomo
Wtyczka Tutor LMS do WordPressa w wersjach do 2.7.4 włącznie jest podatna na atak Cross-Site Request Forgery (CSRF) z powodu braku lub błędnej walidacji nonce w funkcji 'addon_enable_disable'. Pozwala to nieautoryzowanym atakującym na włączanie lub wyłączanie dodatków, jeśli uda im się nakłonić administratora do kliknięcia w spreparowany link.
Wpływ biznesowy
Podatność CSRF w Tutor LMS może prowadzić do nieautoryzowanych zmian konfiguracji dodatków, co może wpłynąć na stabilność i bezpieczeństwo platformy edukacyjnej opartej na WordPress. Administratorzy mogą nieświadomie aktywować lub dezaktywować funkcje, co może skutkować przerwami w działaniu lub ekspozycją na dalsze ataki.
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Tutor LMS i ich wdrożenie. W międzyczasie warto ograniczyć dostęp administratorów do nieznanych linków oraz monitorować logi systemowe pod kątem podejrzanych działań związanych z włączaniem lub wyłączaniem dodatków. Priorytetowo traktuj przegląd i aktualizację zabezpieczeń wtyczek WordPress.