CVE-2024-13521: podatność CSRF w wtyczce MailUp Auto Subscription dla WordPress

Co wiadomo

Wtyczka MailUp Auto Subscription dla WordPress do wersji 1.1.0 włącznie jest podatna na atak Cross-Site Request Forgery (CSRF) z powodu braku lub błędnej walidacji nonce w funkcji mas_options. Pozwala to nieautoryzowanym atakującym na zmianę ustawień i wstrzyknięcie złośliwych skryptów poprzez spreparowane żądanie, jeśli uda im się nakłonić administratora do kliknięcia w link.

Wpływ biznesowy

Atakujący mogą wykorzystać tę podatność do zmiany konfiguracji wtyczki i potencjalnego wstrzyknięcia złośliwego kodu, co może prowadzić do naruszenia bezpieczeństwa strony internetowej oraz utraty zaufania użytkowników. Administratorzy stron korzystających z tej wtyczki powinni traktować tę lukę jako średniego ryzyka, zwłaszcza w środowiskach z wieloma administratorami lub narażonych na ataki phishingowe.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki MailUp Auto Subscription u dostawcy ilghera i ich instalację. W międzyczasie warto ograniczyć dostęp administratorów do nieznanych linków oraz monitorować logi serwera pod kątem podejrzanych działań. Dodatkowo, warto rozważyć wdrożenie mechanizmów ochrony przed CSRF i edukację administratorów w zakresie rozpoznawania potencjalnych prób ataku.

Źródła

• NVD
• Reference
• Reference