CVE-2023-5382: podatność CSRF w wtyczce Funnelforms dla WordPress

Co wiadomo

Wtyczka Funnelforms Free do WordPressa w wersjach do 3.4 włącznie jest podatna na atak Cross-Site Request Forgery (CSRF) z powodu błędnej lub brakującej walidacji nonce w funkcji fnsf_delete_posts. Pozwala to nieautoryzowanym atakującym na usuwanie dowolnych wpisów, jeśli uda im się nakłonić administratora do kliknięcia w spreparowany link.

Wpływ biznesowy

Podatność umożliwia atakującym usuwanie treści na stronie WordPress bez autoryzacji, co może prowadzić do utraty danych i zakłócenia działania serwisu. Operatorzy CMS powinni traktować tę lukę jako średniego ryzyka, zwłaszcza jeśli wtyczka jest aktywnie wykorzystywana i dostępna dla administratorów. Potencjalne skutki obejmują utratę zaufania użytkowników i konieczność przywracania danych.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Funnelforms i ich instalację. W przypadku braku łatki należy ograniczyć dostęp administratorów do podejrzanych źródeł oraz monitorować logi pod kątem nietypowych działań. Warto również edukować administratorów, aby nie klikali w podejrzane linki i stosować dodatkowe mechanizmy zabezpieczające przed CSRF.

Źródła

• NVD
• Reference
• Reference