CVE-2024-3940: podatność CSRF w wtyczce reCAPTCHA Jetpack dla WordPress

Co wiadomo

Wtyczka reCAPTCHA Jetpack do WordPressa w wersjach do 0.2.2 nie posiada mechanizmu ochrony przed atakami CSRF podczas aktualizacji ustawień. Może to pozwolić atakującym na zmianę konfiguracji przez zalogowanego administratora bez jego wiedzy.

Wpływ biznesowy

Brak zabezpieczenia przed CSRF w popularnej wtyczce WordPress może prowadzić do nieautoryzowanych zmian w konfiguracji zabezpieczeń strony, co zwiększa ryzyko dalszych ataków lub utraty kontroli nad witryną. Operatorzy powinni traktować tę lukę jako wysokiego ryzyka, zwłaszcza w środowiskach z wieloma administratorami.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki reCAPTCHA Jetpack u dostawcy oraz ich wdrożenie. W międzyczasie warto ograniczyć dostęp administracyjny do zaufanych użytkowników, monitorować logi pod kątem podejrzanych zmian oraz rozważyć dodatkowe zabezpieczenia CSRF na poziomie serwera.

Źródła

• NVD
• Reference