CVE-2024-11419: podatność CSRF w wtyczce Password for WP dla WordPress

Co wiadomo

Wtyczka Password for WP dla WordPress do wersji 1.5 włącznie jest podatna na atak Cross-Site Request Forgery (CSRF) z powodu braku lub błędnej walidacji nonce w funkcji get3_init_admin_page(). Atakujący może nakłonić administratora do wykonania złośliwego żądania, co pozwala na zmianę ustawień i wstrzyknięcie złośliwych skryptów.

Wpływ biznesowy

Podatność umożliwia nieautoryzowanym osobom modyfikację ustawień wtyczki oraz wstrzyknięcie złośliwego kodu, co może prowadzić do przejęcia kontroli nad witryną lub eskalacji ataku. Operatorzy stron opartych na WordPress powinni traktować tę lukę poważnie, gdyż może ona wpłynąć na integralność i bezpieczeństwo serwisu.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Password for WP i ich wdrożenie. W przypadku braku łatki należy ograniczyć dostęp do panelu administracyjnego, monitorować logi pod kątem podejrzanych działań oraz edukować administratorów, aby nie wykonywali podejrzanych linków lub żądań. Priorytetowo należy ocenić ryzyko i wdrożyć dodatkowe mechanizmy ochronne, takie jak weryfikacja dwuskładnikowa.

Źródła

• NVD
• Reference
• Reference