Analityczne wykorzystywanie plików cookies
CVE-2023-6244: podatność CSRF w wtyczce EventON dla WordPress
Wtyczka EventON dla WordPress ma podatność CSRF umożliwiającą modyfikację ustawień wydarzeń. Sprawdź zalecenia bezpieczeństwa i aktualizacje.
- CVSS
- 6.5 MEDIUM
- EPSS
- 16.81%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- eventon
Co wiadomo
Wtyczka EventON - WordPress Virtual Event Calendar jest podatna na atak Cross-Site Request Forgery (CSRF) we wszystkich wersjach do 4.5.4 (Pro) oraz 2.2.8 (Free). Brak lub nieprawidłowa walidacja nonce w funkcji save_virtual_event_settings umożliwia nieautoryzowanym atakującym modyfikację ustawień wirtualnych wydarzeń poprzez spreparowane żądanie.
Wpływ biznesowy
Podatność ta pozwala atakującym na zmianę ustawień wirtualnych wydarzeń bez autoryzacji, co może prowadzić do zakłócenia działania kalendarza wydarzeń na stronie. Może to wpłynąć na wiarygodność i funkcjonalność serwisu, zwłaszcza jeśli administrator zostanie nakłoniony do wykonania złośliwego działania. W efekcie może to obniżyć zaufanie użytkowników i utrudnić zarządzanie wydarzeniami online.
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki EventON u dostawcy i ich wdrożenie. W międzyczasie warto ograniczyć ekspozycję serwisu na potencjalne ataki, monitorować logi pod kątem podejrzanych działań oraz edukować administratorów, aby unikali klikania w nieznane linki. Priorytetowo należy ocenić ryzyko i wdrożyć dodatkowe zabezpieczenia CSRF, jeśli to możliwe.