CVE-2024-0512: podatność CSRF w wtyczce Royal Elementor Addons

Co wiadomo

Wtyczka Royal Elementor Addons i Templates dla WordPress do wersji 1.3.87 jest podatna na atak Cross-Site Request Forgery (CSRF) z powodu braku lub błędnej walidacji nonce w funkcji add_to_wishlist. Atakujący może zmusić administratora do dodania elementów do listy życzeń poprzez spreparowane żądanie.

Wpływ biznesowy

Podatność umożliwia nieautoryzowane dodawanie elementów do list życzeń użytkowników, co może prowadzić do niezamierzonych zmian w konfiguracji lub danych użytkownika. Dla operatorów IT i właścicieli infrastruktury oznacza to ryzyko manipulacji funkcjonalnością serwisu przez osoby trzecie, co może wpłynąć na doświadczenie użytkownika i zaufanie do platformy.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Royal Elementor Addons i jej instalację. W przypadku braku łatki warto ograniczyć ekspozycję serwisu, monitorować logi pod kątem podejrzanych działań oraz edukować administratorów, aby nie wykonywali nieznanych lub podejrzanych akcji. Priorytetowo należy ocenić ryzyko i wdrożyć odpowiednie środki zapobiegawcze.

Źródła

• NVD
• Reference
• Reference