Analityczne wykorzystywanie plików cookies
CVE-2023-4247: podatność Cross-Site Request Forgery w wtyczce GiveWP dla WordPress
Podatność CSRF w GiveWP do WordPress umożliwia dezaktywację wtyczki SendWP. Zalecana aktualizacja i monitorowanie bezpieczeństwa.
- CVSS
- 5.4 MEDIUM
- EPSS
- 17.55%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- givewp
Co wiadomo
Wtyczka GiveWP do WordPressa w wersjach do 2.33.3 włącznie jest podatna na atak Cross-Site Request Forgery (CSRF) z powodu braku lub błędnej walidacji nonce w funkcji give_sendwp_disconnect. Pozwala to nieautoryzowanym atakującym na dezaktywację wtyczki SendWP poprzez spreparowane żądanie, jeśli uda im się nakłonić administratora do kliknięcia w link.
Wpływ biznesowy
Atakujący mogą zdalnie dezaktywować wtyczkę SendWP bez uwierzytelnienia, co może zakłócić działanie funkcji związanych z wysyłką wiadomości lub integracją z usługą SendWP. Może to prowadzić do przerw w działaniu serwisu i utraty funkcjonalności, wpływając na doświadczenie użytkowników i operacje biznesowe.
Rekomendowane działania administratora
Zaleca się jak najszybsze zaktualizowanie wtyczki GiveWP do wersji po 2.33.3, w której problem został załatany. W przypadku braku dostępnej aktualizacji należy ograniczyć ekspozycję serwisu, monitorować logi pod kątem podejrzanych działań oraz edukować administratorów, aby nie klikali w podejrzane linki. Warto również przejrzeć konfigurację zabezpieczeń CSRF w środowisku WordPress.