CVE-2023-6968: podatność Cross-Site Request Forgery w wtyczce The Moneytizer dla WordPress

Co wiadomo

Wtyczka The Moneytizer dla WordPress do wersji 9.6.3 włącznie jest podatna na atak Cross-Site Request Forgery (CSRF) z powodu braku lub nieprawidłowej walidacji nonce w wielu funkcjach AJAX. Atakujący może wykorzystać tę lukę, aby zmieniać dane rozliczeniowe i bankowe, resetować ustawienia wtyczki oraz aktualizować języki, jeśli uda mu się nakłonić administratora do wykonania określonej akcji.

Wpływ biznesowy

Podatność ta stanowi poważne zagrożenie dla bezpieczeństwa witryn korzystających z wtyczki The Moneytizer, umożliwiając nieautoryzowane zmiany w konfiguracji i danych finansowych. Może to prowadzić do utraty kontroli nad ustawieniami wtyczki oraz potencjalnych nadużyć finansowych lub utraty danych. Operatorzy powinni traktować tę lukę jako wysokiego ryzyka i odpowiednio ją adresować.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki The Moneytizer u dostawcy oraz ich wdrożenie. W międzyczasie warto ograniczyć ekspozycję funkcji AJAX, monitorować logi pod kątem podejrzanych działań oraz edukować administratorów w zakresie unikania klikania w podejrzane linki. Priorytetem jest szybka reakcja i minimalizacja ryzyka wykorzystania podatności.

Źródła

• NVD
• Reference
• Reference
• Reference