CVE-2024-13438: podatność CSRF w wtyczce SpeedSize Image & Video AI-Optimizer

Co wiadomo

Wtyczka SpeedSize Image & Video AI-Optimizer dla WordPressa do wersji 1.5.1 włącznie jest podatna na atak Cross-Site Request Forgery (CSRF) z powodu braku lub nieprawidłowej walidacji nonce w funkcji 'speedsize_clear_css_cache_action'. Atakujący może nakłonić administratora do wykonania złośliwego żądania, co pozwala na wyczyszczenie pamięci podręcznej wtyczki.

Wpływ biznesowy

Podatność umożliwia nieautoryzowane wyczyszczenie pamięci podręcznej wtyczki, co może prowadzić do zakłóceń w działaniu serwisu lub obniżenia wydajności. Administratorzy powinni traktować tę lukę jako średniego ryzyka i zweryfikować, czy ich systemy korzystają z podatnej wersji wtyczki, aby zapobiec potencjalnym problemom operacyjnym.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki SpeedSize Image & Video AI-Optimizer i jej instalację. W międzyczasie warto ograniczyć dostęp administratorów do podejrzanych linków oraz monitorować logi serwera pod kątem nietypowych żądań związanych z funkcją czyszczenia cache. Wdrożenie dodatkowych mechanizmów zabezpieczających przed CSRF również jest wskazane.

Źródła

• NVD
• Reference
• Reference