CVE-2023-4975: podatność CSRF w wtyczce Website Builder by SeedProd dla WordPress

Co wiadomo

Wtyczka Website Builder by SeedProd do WordPressa w wersjach do 6.15.13.1 włącznie jest podatna na atak Cross-Site Request Forgery (CSRF) z powodu braku lub błędnej walidacji nonce w pliku builder.php. Pozwala to nieautoryzowanym atakującym na zmianę tokena Stripe Connect, jeśli uda im się nakłonić administratora do wykonania określonej akcji, np. kliknięcia w link.

Wpływ biznesowy

Podatność ta może prowadzić do nieautoryzowanych zmian konfiguracji płatności Stripe, co może skutkować zakłóceniami w procesach finansowych i potencjalnymi stratami. Administratorzy stron korzystających z tej wtyczki powinni traktować tę lukę jako istotne ryzyko dla integralności i bezpieczeństwa systemu, zwłaszcza w środowiskach z wieloma użytkownikami i dostępem do panelu administracyjnego.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Website Builder by SeedProd i ich zastosowanie. W przypadku braku łatki warto ograniczyć ekspozycję panelu administracyjnego, monitorować logi pod kątem podejrzanych działań oraz edukować administratorów o ryzyku kliknięcia w nieznane linki. Priorytetowo traktuj przegląd i aktualizację zabezpieczeń nonce w funkcjach wtyczki.

Źródła

• NVD
• Reference
• Reference
• Reference