Analityczne wykorzystywanie plików cookies
CVE-2023-4276: podatność CSRF w wtyczce Absolute Privacy dla WordPress
Wtyczka Absolute Privacy dla WordPress ma krytyczną podatność CSRF umożliwiającą zmianę danych administratora. Zalecane szybkie aktualizacje i monitorowanie.
- CVSS
- 8.8 HIGH
- EPSS
- 19.72%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- absolute privacy
Co wiadomo
Wtyczka Absolute Privacy dla WordPress w wersjach do 2.1 włącznie jest podatna na atak Cross-Site Request Forgery (CSRF) z powodu braku walidacji nonce w funkcji 'abpr_profileShortcode'. Atakujący może zmienić adres e-mail i hasło użytkownika, jeśli uda mu się nakłonić administratora do wykonania złośliwego żądania.
Wpływ biznesowy
Podatność o wysokim poziomie ryzyka (CVSS 8.8) umożliwia nieautoryzowaną zmianę danych uwierzytelniających administratora witryny, co może prowadzić do przejęcia kontroli nad stroną WordPress. Może to skutkować utratą integralności i poufności danych oraz przerwami w działaniu usług internetowych.
Rekomendowane działania administratora
Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Absolute Privacy i ich wdrożenie. W przypadku braku łatki należy ograniczyć ekspozycję wtyczki, monitorować logi pod kątem podejrzanych działań oraz edukować administratorów w zakresie unikania klikania w podejrzane linki. Priorytetowo traktuj ocenę ryzyka i wdrożenie środków zapobiegawczych.