CVE-2024-2970: podatność CSRF w wtyczce News Wall dla WordPress

Co wiadomo

Wtyczka News Wall dla WordPress do wersji 1.1.0 włącznie jest podatna na atak Cross-Site Request Forgery (CSRF) z powodu braku lub błędnej walidacji nonce w funkcji nwap_newslist_page(). Atakujący może zmienić ustawienia wtyczki i modyfikować listy wiadomości, nakłaniając administratora do kliknięcia w spreparowany link.

Wpływ biznesowy

Podatność umożliwia nieautoryzowanym osobom modyfikację konfiguracji wtyczki News Wall, co może prowadzić do niezamierzonych zmian w treści wyświetlanej na stronie. Dla operatorów IT oznacza to ryzyko ingerencji w zawartość serwisu oraz potencjalne naruszenie integralności danych bez konieczności posiadania uprawnień administratora.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki News Wall u jej dostawcy i wdrożenie poprawek. W międzyczasie warto ograniczyć dostęp administratorów do podejrzanych linków, monitorować logi pod kątem nietypowych zmian konfiguracji oraz edukować personel w zakresie rozpoznawania prób phishingu i socjotechniki.

Źródła

• NVD
• Reference
• Reference