CVE-2024-2113: Luka CSRF w wtyczce Ninja Forms dla WordPress

Co wiadomo

Wtyczka Ninja Forms Contact Form dla WordPress do wersji 3.8.0 włącznie jest podatna na atak Cross-Site Request Forgery (CSRF) z powodu błędnej lub brakującej walidacji nonce w akcji AJAX nf_download_all_subs. Pozwala to nieautoryzowanym atakującym na wywołanie eksportu zgłoszeń formularza do publicznie dostępnej lokalizacji, jeśli uda im się nakłonić administratora do kliknięcia w spreparowany link.

Wpływ biznesowy

Podatność może prowadzić do nieautoryzowanego wycieku danych zgłoszeń formularzy kontaktowych, co stanowi ryzyko dla prywatności i bezpieczeństwa informacji. Administratorzy stron korzystających z tej wtyczki powinni rozważyć potencjalne konsekwencje wycieku danych oraz zwiększone ryzyko ataków socjotechnicznych wymierzonych w personel zarządzający stroną.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Ninja Forms i jej instalację. W przypadku braku łatki warto ograniczyć dostęp do funkcji eksportu zgłoszeń oraz monitorować logi serwera pod kątem podejrzanych aktywności. Dodatkowo należy edukować administratorów, aby nie klikali w podejrzane linki i stosowali zasady bezpieczeństwa podczas zarządzania stroną.

Źródła

• NVD
• Reference
• Reference