Analityczne wykorzystywanie plików cookies
CVE-2024-0767: podatność CSRF w wtyczce Envo's Elementor Templates & Widgets for WooCommerce
Podatność CSRF w wtyczce Envo's Elementor Templates & Widgets for WooCommerce umożliwia aktywację wtyczek przez nieautoryzowanych atakujących. Zalecane szybkie aktualizacje.
- CVSS
- 4.3 MEDIUM
- EPSS
- 19.59%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- envo\'s elementor templates \& widgets for woocommerce
Co wiadomo
Wtyczka Envo's Elementor Templates & Widgets for WooCommerce dla WordPressa do wersji 1.4.4 jest podatna na atak Cross-Site Request Forgery (CSRF) z powodu braku lub błędnej walidacji nonce w funkcji ajax_plugin_activation. Pozwala to nieautoryzowanym atakującym na aktywację dowolnych zainstalowanych wtyczek, jeśli uda im się nakłonić administratora do kliknięcia w spreparowany link.
Wpływ biznesowy
Ta podatność może prowadzić do niezamierzonej aktywacji wtyczek przez administratorów serwisu, co może skutkować uruchomieniem niepożądanych funkcji lub eskalacją uprawnień. W środowiskach produkcyjnych może to wpłynąć na stabilność i bezpieczeństwo witryny, zwiększając ryzyko dalszych ataków lub naruszeń danych.
Rekomendowane działania administratora
Administratorzy powinni jak najszybciej zweryfikować dostępność aktualizacji wtyczki u dostawcy i zastosować je. W międzyczasie zaleca się ograniczenie dostępu do panelu administracyjnego, monitorowanie logów pod kątem podejrzanych aktywności oraz edukację administratorów w zakresie unikania klikania w nieznane linki. Priorytetem jest szybka ocena i wdrożenie poprawek bezpieczeństwa.