CVE-2024-39678: podatność CSRF w wtyczce Cooked dla WordPress

Co wiadomo

Wtyczka Cooked do WordPressa jest podatna na atak Cross-Site Request Forgery (CSRF) w wersjach do 1.7.15.4 włącznie, z powodu błędnej lub brakującej walidacji nonce w obsłudze AJAX. Atakujący może nakłonić użytkownika do wykonania niezamierzonej akcji w jego kontekście uwierzytelnienia.

Wpływ biznesowy

Podatność CSRF w wtyczce Cooked może prowadzić do nieautoryzowanych działań wykonywanych przez zalogowanych użytkowników, co może skutkować niezamierzonymi zmianami w serwisie WordPress. Dla operatorów stron opartych na tym CMS istnieje ryzyko naruszenia integralności danych i funkcjonalności witryny, zwłaszcza jeśli użytkownicy mają rozszerzone uprawnienia.

Rekomendowane działania administratora

Zaleca się niezwłoczne zaktualizowanie wtyczki Cooked do wersji 1.8.0 lub nowszej, gdzie problem został załatany. W przypadku braku możliwości natychmiastowej aktualizacji warto ograniczyć dostęp do panelu administracyjnego oraz monitorować logi pod kątem podejrzanych działań. Należy również edukować użytkowników o ryzyku ataków CSRF i stosować dodatkowe mechanizmy zabezpieczeń, jeśli to możliwe.

Źródła

• NVD
• Reference