CVE-2024-13795: podatność CSRF w wtyczce Ecwid Ecommerce Shopping Cart dla WordPress

Co wiadomo

Wtyczka Ecwid Ecommerce Shopping Cart dla WordPress do wersji 6.12.27 włącznie jest podatna na atak Cross-Site Request Forgery (CSRF) z powodu braku lub błędnej walidacji nonce w funkcji ecwid_deactivate_feedback(). Atakujący może wysłać fałszywe żądania dezaktywacji w imieniu właściciela strony, jeśli uda mu się nakłonić administratora do kliknięcia w złośliwy link.

Wpływ biznesowy

Podatność umożliwia nieautoryzowanym osobom wywołanie działań dezaktywacyjnych na stronie WordPress korzystającej z wtyczki Ecwid, co może prowadzić do zakłócenia działania sklepu internetowego. Dla operatorów IT i właścicieli infrastruktury oznacza to ryzyko utraty funkcjonalności sklepu oraz potencjalne negatywne skutki dla doświadczenia użytkowników i przychodów.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Ecwid i ich wdrożenie. W przypadku braku natychmiastowej łatki warto ograniczyć ekspozycję panelu administracyjnego, monitorować logi pod kątem podejrzanych działań oraz edukować administratorów w zakresie unikania klikania w nieznane linki. Priorytetowo traktuj aktualizacje zabezpieczeń wtyczek CMS.

Źródła

• NVD
• Reference
• Reference