Analityczne wykorzystywanie plików cookies
CVE-2023-5383: podatność CSRF w wtyczce Funnelforms dla WordPress
Wtyczka Funnelforms do WordPress ma podatność CSRF umożliwiającą kopiowanie postów. Sprawdź zalecenia bezpieczeństwa i aktualizacje.
- CVSS
- 4.3 MEDIUM
- EPSS
- 14.36%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- funnelforms
Co wiadomo
Wtyczka Funnelforms Free do WordPress w wersjach do 3.4 włącznie jest podatna na atak Cross-Site Request Forgery (CSRF) z powodu błędnej lub brakującej walidacji nonce w funkcji fnsf_copy_posts. Pozwala to nieautoryzowanym atakującym na tworzenie kopii dowolnych postów, jeśli uda im się nakłonić administratora do wykonania określonej akcji, np. kliknięcia w link.
Wpływ biznesowy
Podatność ta może prowadzić do nieautoryzowanego kopiowania treści na stronie, co może skutkować naruszeniem integralności danych i potencjalnym narażeniem na dalsze ataki. Administratorzy stron korzystających z tej wtyczki powinni zwrócić uwagę na możliwość wykorzystania tej luki przez atakujących, zwłaszcza w środowiskach z wieloma użytkownikami o podwyższonych uprawnieniach.
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Funnelforms i jej instalację. W przypadku braku łatki należy ograniczyć dostęp administratorów do podejrzanych linków oraz monitorować logi pod kątem nietypowych działań. Warto również edukować administratorów, aby nie klikali w podejrzane odnośniki i rozważyć wdrożenie dodatkowych mechanizmów zabezpieczających przed CSRF.