Analityczne wykorzystywanie plików cookies
CVE-2023-6243: podatność Cross-Site Request Forgery w wtyczce EventON PRO dla WordPress
Podatność CSRF w wtyczce EventON PRO do WordPress umożliwia wysyłanie fałszywych e-maili. Sprawdź zalecenia bezpieczeństwa i aktualizacje.
- CVSS
- 4.3 MEDIUM
- EPSS
- 12.33%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- eventon-lite
Co wiadomo
Wtyczka EventON PRO - WordPress Virtual Event Calendar do wersji 4.6.8 włącznie jest podatna na atak Cross-Site Request Forgery (CSRF) z powodu braku lub nieprawidłowej walidacji nonce w funkcji admin_test_email. Pozwala to nieautoryzowanym atakującym na wysyłanie testowych e-maili na dowolne adresy, jeśli uda im się nakłonić administratora do kliknięcia w spreparowany link.
Wpływ biznesowy
Podatność może prowadzić do nadużycia funkcji wysyłania e-maili przez wtyczkę, co może skutkować rozsyłaniem niechcianych wiadomości lub phishingiem, wpływając negatywnie na reputację firmy i obciążenie infrastruktury pocztowej. Administratorzy stron korzystających z tej wtyczki powinni zwrócić uwagę na potencjalne ryzyko związane z manipulacją działaniami administratora i możliwym wykorzystaniem tej luki do dalszych ataków.
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki EventON PRO i jej instalację. W przypadku braku łatki należy ograniczyć dostęp do panelu administracyjnego, monitorować logi pod kątem podejrzanych działań oraz edukować administratorów w zakresie rozpoznawania prób phishingu i nieklikania w podejrzane linki. Warto również rozważyć wdrożenie dodatkowych mechanizmów zabezpieczających przed CSRF.