CVE-2024-2110: podatność CSRF w wtyczce Events Manager dla WordPress

Co wiadomo

Wtyczka Events Manager dla WordPress do wersji 6.4.7.1 jest podatna na atak Cross-Site Request Forgery (CSRF) z powodu braku lub błędnej walidacji nonce przy kilku akcjach. Atakujący może zmienić statusy rezerwacji, podszywając się pod administratora i nakłaniając go do kliknięcia w spreparowany link.

Wpływ biznesowy

Podatność umożliwia nieautoryzowaną modyfikację statusów rezerwacji, co może prowadzić do zakłóceń w zarządzaniu wydarzeniami i potencjalnych nadużyć. Operatorzy stron korzystających z tej wtyczki powinni zwrócić uwagę na ryzyko manipulacji danymi rezerwacji oraz możliwe konsekwencje dla doświadczenia użytkowników i reputacji serwisu.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Events Manager i ich wdrożenie. W przypadku braku łatki należy ograniczyć ekspozycję wtyczki, monitorować logi pod kątem podejrzanych działań oraz edukować administratorów o ryzyku kliknięcia w nieznane linki. Priorytetem jest szybka reakcja i minimalizacja ryzyka wykorzystania podatności.

Źródła

• NVD
• Reference
• Reference