CVE-2024-1162: Luka CSRF w wtyczce Orbit Fox dla WordPress

Co wiadomo

Wtyczka Orbit Fox firmy ThemeIsle dla WordPress ma lukę Cross-Site Request Forgery (CSRF) w wersjach do 2.10.29 włącznie. Brak lub nieprawidłowa walidacja nonce w funkcji register_reference() pozwala nieautoryzowanym atakującym na aktualizację kluczy API poprzez spreparowane żądanie, jeśli uda im się nakłonić administratora do kliknięcia w link.

Wpływ biznesowy

Luka umożliwia atakującym zmianę kluczy API powiązanych z wtyczką bez uwierzytelnienia, co może prowadzić do nieautoryzowanego dostępu do usług zewnętrznych lub manipulacji funkcjami wtyczki. Operatorzy stron korzystających z Orbit Fox powinni traktować tę lukę poważnie, gdyż może ona wpłynąć na integralność i bezpieczeństwo środowiska CMS.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Orbit Fox u dostawcy ThemeIsle i ich wdrożenie. W międzyczasie warto ograniczyć ekspozycję serwisu, monitorować logi pod kątem podejrzanych działań oraz edukować administratorów, by nie klikali w podejrzane linki. Priorytetem jest szybka weryfikacja i instalacja poprawek bezpieczeństwa.

Źródła

• NVD
• Reference
• Reference