CVE-2024-13647: podatność CSRF w wtyczce SakolaWP dla WordPress

Co wiadomo

Wtyczka School Management System – SakolaWP dla WordPress do wersji 1.0.8 włącznie jest podatna na atak Cross-Site Request Forgery (CSRF) z powodu braku lub nieprawidłowej walidacji nonce dla akcji 'save_exam_setting' i 'delete_exam_setting'. Atakujący może nakłonić administratora do wykonania nieautoryzowanych zmian ustawień egzaminów poprzez spreparowany link.

Wpływ biznesowy

Podatność umożliwia nieautoryzowanym osobom aktualizację ustawień egzaminów bez wiedzy administratora, co może prowadzić do zakłócenia działania systemu zarządzania szkołą i potencjalnych problemów organizacyjnych. W środowiskach edukacyjnych korzystających z tej wtyczki istnieje ryzyko manipulacji danymi egzaminacyjnymi, co może wpłynąć na wiarygodność i integralność procesów edukacyjnych.

Rekomendowane działania administratora

Administratorzy powinni niezwłocznie zweryfikować dostępność aktualizacji wtyczki SakolaWP u dostawcy i zastosować najnowszą wersję, która eliminuje podatność. W przypadku braku łatki zaleca się ograniczenie dostępu do panelu administracyjnego, monitorowanie logów pod kątem podejrzanych działań oraz edukację użytkowników w zakresie unikania klikania w podejrzane linki. Priorytetowo należy ocenić ryzyko i wdrożyć odpowiednie środki zapobiegawcze.

Źródła

• NVD
• Reference
• Reference