Analityczne wykorzystywanie plików cookies
CVE-2023-5532: podatność Cross-Site Request Forgery w wtyczce ImageMapper dla WordPress
Wtyczka ImageMapper do WordPress ma lukę CSRF umożliwiającą atakującym modyfikację tytułów postów i wstrzyknięcie złośliwego JavaScript.
- CVSS
- 6.1 MEDIUM
- EPSS
- 11.9%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- imagemapper
Co wiadomo
Wtyczka ImageMapper do WordPress w wersjach do 1.2.6 włącznie jest podatna na atak Cross-Site Request Forgery (CSRF) z powodu braku lub nieprawidłowej walidacji nonce w funkcji 'imgmap_save_area_title'. Atakujący może wykorzystać tę lukę, aby zmienić tytuł posta i wstrzyknąć złośliwy kod JavaScript, jeśli uda mu się nakłonić administratora do kliknięcia w spreparowany link.
Wpływ biznesowy
Podatność umożliwia nieautoryzowaną modyfikację treści na stronie WordPress, co może prowadzić do wstrzyknięcia złośliwego kodu i potencjalnego przejęcia kontroli nad witryną. Operatorzy IT i właściciele infrastruktury powinni traktować tę lukę poważnie, ponieważ może ona narazić użytkowników na ataki typu phishing lub kradzież danych.
Rekomendowane działania administratora
Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki ImageMapper i ich wdrożenie. W przypadku braku łatki należy ograniczyć ekspozycję wtyczki, monitorować logi pod kątem podejrzanych działań oraz edukować administratorów, aby nie klikali w podejrzane linki. Priorytetowo należy ocenić ryzyko i wdrożyć odpowiednie środki zapobiegawcze.