CVE-2024-13684: podatność CSRF w wtyczce Reset dla WordPress

Co wiadomo

Wtyczka Reset dla WordPress do wersji 1.6 włącznie jest podatna na atak Cross-Site Request Forgery (CSRF) z powodu braku lub błędnej walidacji nonce w funkcji reset_db_page(). Atakujący może nakłonić administratora do wykonania złośliwego żądania, co skutkuje resetem wielu tabel w bazie danych, takich jak komentarze, motywy czy wtyczki.

Wpływ biznesowy

Podatność umożliwia nieautoryzowany reset kluczowych danych w bazie WordPress, co może prowadzić do utraty konfiguracji, danych użytkowników i funkcjonalności serwisu. Operatorzy IT i właściciele infrastruktury powinni traktować tę lukę jako wysokiego ryzyka, gdyż atak może zostać przeprowadzony bez uwierzytelnienia, wykorzystując zaufanie administratora do kliknięcia w złośliwy link.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Reset od producenta smartzminds i ich wdrożenie. W przypadku braku łatki należy ograniczyć ekspozycję panelu administracyjnego, monitorować logi pod kątem podejrzanych działań oraz edukować administratorów w zakresie unikania klikania w nieznane linki. Priorytetem jest szybka reakcja na potencjalne incydenty związane z resetem danych.

Źródła

• NVD
• Reference
• Reference