Analityczne wykorzystywanie plików cookies
CVE-2023-6196: podatność CSRF w wtyczce Audio Merchant dla WordPress
Wtyczka Audio Merchant do WordPress ma krytyczną lukę CSRF umożliwiającą przesyłanie plików przez atakujących. Sprawdź zalecenia bezpieczeństwa.
- CVSS
- 8.8 HIGH
- EPSS
- 26.12%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- audio merchant
Co wiadomo
Wtyczka Audio Merchant dla WordPress do wersji 5.0.4 włącznie jest podatna na atak Cross-Site Request Forgery (CSRF) z powodu błędnej lub brakującej walidacji nonce w funkcji audio_merchant_add_audio_file. Pozwala to nieautoryzowanym atakującym na przesłanie dowolnych plików, jeśli uda im się nakłonić administratora strony do wykonania określonej akcji, np. kliknięcia w link.
Wpływ biznesowy
Podatność ta może prowadzić do nieautoryzowanego przesłania i potencjalnego wykonania złośliwych plików na serwerze, co zagraża integralności i bezpieczeństwu witryny. Operatorzy stron korzystających z tej wtyczki powinni traktować tę lukę jako wysokiego ryzyka, zwłaszcza w środowiskach o dużym natężeniu ruchu i wielu administratorach.
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Audio Merchant i ich wdrożenie. W międzyczasie warto ograniczyć dostęp administratorów do podejrzanych linków oraz monitorować logi serwera pod kątem nietypowych działań związanych z przesyłaniem plików. Warto także rozważyć wdrożenie dodatkowych mechanizmów zabezpieczających przed CSRF.