CVE-2023-7196: luka CSRF w wtyczce Ultimate Noindex Nofollow Tool dla WordPress

Co wiadomo

Wtyczka Ultimate Noindex Nofollow Tool do WordPressa w wersji do 1.1.2 nie posiada mechanizmu ochrony przed atakami CSRF podczas aktualizacji ustawień. Może to pozwolić atakującym na zmianę konfiguracji przez zalogowanego administratora bez jego wiedzy.

Wpływ biznesowy

Brak zabezpieczenia CSRF w tej wtyczce może prowadzić do nieautoryzowanych zmian w konfiguracji strony, co może wpłynąć na widoczność witryny w wyszukiwarkach i jej bezpieczeństwo. Administratorzy powinni zwrócić uwagę na potencjalne ryzyko manipulacji ustawieniami przez atakujących wykorzystujących sesję zalogowanego użytkownika.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki u dostawcy oraz ich instalację. W międzyczasie warto ograniczyć dostęp do panelu administracyjnego tylko do zaufanych adresów IP, monitorować logi pod kątem podejrzanych działań oraz rozważyć wdrożenie dodatkowych mechanizmów ochrony CSRF.

Źródła

• NVD
• Reference