Luka CSRF w wtyczce dejure.org Vernetzungsfunktion dla WordPress

Co wiadomo

Wtyczka dejure.org Vernetzungsfunktion dla WordPress w wersjach do 1.97.5 włącznie jest podatna na atak Cross-Site Request Forgery (CSRF) z powodu braku lub nieprawidłowej walidacji nonce w funkcji djo_einstellungen_menue(). Atakujący może nakłonić administratora do wykonania złośliwego żądania, co pozwala na zmianę ustawień i wstrzyknięcie złośliwych skryptów.

Wpływ biznesowy

Podatność umożliwia nieautoryzowanym osobom modyfikację ustawień wtyczki poprzez oszukanie administratora, co może prowadzić do kompromitacji witryny i wstrzyknięcia złośliwego kodu. Może to skutkować utratą integralności serwisu, obniżeniem zaufania użytkowników oraz potencjalnymi problemami prawnymi związanymi z naruszeniem bezpieczeństwa danych.

Rekomendowane działania administratora

Administratorzy powinni jak najszybciej zweryfikować dostępność aktualizacji wtyczki u jej dostawcy i zastosować je, jeśli są dostępne. W międzyczasie zaleca się ograniczenie dostępu do panelu administracyjnego, monitorowanie logów pod kątem podejrzanych działań oraz edukację administratorów w zakresie unikania klikania w podejrzane linki. Warto również rozważyć wdrożenie dodatkowych mechanizmów ochrony przed CSRF.

Źródła

• NVD
• Reference
• Reference