CVE-2024-0511: podatność CSRF w wtyczce Royal Elementor Addons dla WordPress

Co wiadomo

Wtyczka Royal Elementor Addons i Templates dla WordPress do wersji 1.3.87 włącznie jest podatna na atak Cross-Site Request Forgery (CSRF) z powodu braku lub błędnej walidacji nonce w funkcji wpr_update_form_action_meta. Atakujący może nakłonić administratora do wykonania nieautoryzowanej akcji, co pozwala na przesłanie metadanych przez sfałszowane żądanie.

Wpływ biznesowy

Podatność CSRF może umożliwić nieautoryzowane modyfikacje danych w witrynie WordPress, jeśli administrator zostanie nakłoniony do kliknięcia w złośliwy link. Może to prowadzić do niezamierzonych zmian w konfiguracji lub zawartości strony, wpływając na integralność i bezpieczeństwo serwisu. Operatorzy powinni ocenić ryzyko w kontekście swoich środowisk i priorytetyzować działania naprawcze.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Royal Elementor Addons i ich wdrożenie. W przypadku braku łatki należy ograniczyć ekspozycję serwisu, monitorować logi pod kątem podejrzanych działań oraz edukować administratorów w zakresie unikania klikania w nieznane linki. Regularne przeglądy bezpieczeństwa i audyty konfiguracji są wskazane.

Źródła

• NVD
• Reference
• Reference