Luka CSRF w wtyczce Pulsating Chat Button dla WordPress (CVE-2024-11813)

Co wiadomo

Wtyczka Pulsating Chat Button dla WordPress do wersji 1.4.1 włącznie jest podatna na atak Cross-Site Request Forgery (CSRF) z powodu błędnej walidacji nonce w funkcji amin_chat_button_settings_page(). Atakujący może nakłonić administratora do wykonania złośliwego żądania, co pozwala na zmianę ustawień i wstrzyknięcie złośliwych skryptów.

Wpływ biznesowy

Podatność umożliwia nieautoryzowanym osobom modyfikację ustawień wtyczki poprzez oszukanie administratora, co może prowadzić do wstrzyknięcia złośliwego kodu i potencjalnego przejęcia kontroli nad funkcjonalnością strony. Operatorzy stron WordPress powinni traktować tę lukę poważnie, gdyż może ona wpłynąć na bezpieczeństwo i integralność witryny.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Pulsating Chat Button i ich wdrożenie. W przypadku braku łatki należy ograniczyć dostęp do panelu administracyjnego, monitorować logi pod kątem podejrzanych działań oraz edukować administratorów, aby nie klikali w podejrzane linki. Priorytetowo należy ocenić ryzyko i wdrożyć dodatkowe mechanizmy ochronne przeciw CSRF.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference