Analityczne wykorzystywanie plików cookies
CVE-2024-1361: podatność CSRF w wtyczce Colibri Page Builder dla WordPress
Wtyczka Colibri Page Builder do WordPress ma lukę CSRF umożliwiającą nieautoryzowane działania. Sprawdź zalecenia bezpieczeństwa.
- CVSS
- 4.3 MEDIUM
- EPSS
- 11.66%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- colibri page builder
Co wiadomo
Wtyczka Colibri Page Builder dla WordPress do wersji 1.0.253 włącznie jest podatna na atak Cross-Site Request Forgery (CSRF) z powodu braku lub błędnej walidacji nonce w funkcji apiCall(). Atakujący może nakłonić administratora do wykonania nieautoryzowanych działań, takich jak import obrazów, usuwanie wpisów czy zapisywanie danych motywu.
Wpływ biznesowy
Podatność umożliwia zdalne wykonanie ograniczonych operacji administracyjnych bez uwierzytelnienia, co może prowadzić do niezamierzonych zmian w zawartości strony lub konfiguracji motywu. Operatorzy stron WordPress korzystających z tej wtyczki powinni traktować tę lukę jako średniego ryzyka, zwłaszcza jeśli administratorzy mogą zostać nakłonieni do kliknięcia złośliwego linku.
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Colibri Page Builder u dostawcy oraz ich wdrożenie. W międzyczasie warto ograniczyć dostęp administratorów do nieznanych lub podejrzanych linków, monitorować logi serwera pod kątem nietypowych żądań oraz rozważyć zastosowanie dodatkowych mechanizmów zabezpieczających przed CSRF.