Analityczne wykorzystywanie plików cookies
CVE-2024-0203: podatność Cross-Site Request Forgery w wtyczce Digits dla WordPress
Wtyczka Digits dla WordPress do 8.4.1 ma poważną lukę CSRF umożliwiającą podniesienie uprawnień użytkowników. Zalecana szybka aktualizacja.
- CVSS
- 8.8 HIGH
- EPSS
- 19.48%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- digits
Co wiadomo
Wtyczka Digits dla WordPress w wersjach do 8.4.1 włącznie jest podatna na atak Cross-Site Request Forgery (CSRF) z powodu braku walidacji nonce w funkcji 'digits_save_settings'. Atakujący może wykorzystać tę lukę do zmiany domyślnej roli użytkowników i podniesienia uprawnień, nakłaniając administratora do wykonania spreparowanego żądania.
Wpływ biznesowy
Ta podatność umożliwia nieautoryzowanym osobom podniesienie uprawnień użytkowników w systemie WordPress, co może prowadzić do przejęcia kontroli nad witryną lub eskalacji uprawnień. Operatorzy stron korzystających z wtyczki Digits powinni traktować tę lukę jako poważne zagrożenie dla bezpieczeństwa i integralności swoich serwisów.
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Digits u dostawcy oraz ich wdrożenie. W międzyczasie warto ograniczyć dostęp administratorów do podejrzanych linków i monitorować logi pod kątem nietypowych działań. Należy również edukować administratorów, aby nie klikali w podejrzane odnośniki i stosowali dobre praktyki bezpieczeństwa.