CVE-2024-10040: podatność CSRF w wtyczce Infinite-Scroll dla WordPress

Co wiadomo

Wtyczka Infinite-Scroll dla WordPress do wersji 2.6.2 włącznie jest podatna na atak Cross-Site Request Forgery (CSRF) z powodu braku lub nieprawidłowej walidacji nonce w funkcjach process_ajax_edit i process_ajax_delete. Atakujący może nakłonić administratora do wykonania nieautoryzowanych zmian w ustawieniach wtyczki poprzez spreparowane żądanie.

Wpływ biznesowy

Podatność ta pozwala na nieautoryzowaną modyfikację ustawień wtyczki przez osoby nieposiadające uprawnień, co może prowadzić do niezamierzonych zmian w działaniu strony internetowej opartej na WordPress. Może to wpłynąć na stabilność i bezpieczeństwo witryny, zwłaszcza jeśli atakujący zmieni kluczowe konfiguracje lub wprowadzi złośliwe ustawienia.

Rekomendowane działania administratora

Administratorzy powinni jak najszybciej zweryfikować wersję wtyczki Infinite-Scroll i zaktualizować ją do najnowszej dostępnej wersji, jeśli jest dostępna poprawka. W przypadku braku aktualizacji zaleca się ograniczenie dostępu do panelu administracyjnego, monitorowanie logów pod kątem podejrzanych działań oraz edukację użytkowników o ryzyku klikania w nieznane linki. Warto również rozważyć wdrożenie dodatkowych mechanizmów zabezpieczających przed CSRF.

Źródła

• NVD
• Reference
• Reference
• Reference