Analityczne wykorzystywanie plików cookies
CVE-2024-7422: Luki CSRF w wtyczce Theme My Login dla WordPress (wersje do 7.1.7)
Wtyczka Theme My Login do WordPress multisite ma lukę CSRF umożliwiającą nieautoryzowaną zmianę ustawień. Sprawdź aktualizacje i zabezpiecz system.
- CVSS
- 4.3 MEDIUM
- EPSS
- 9.63%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- -
Co wiadomo
Wtyczka Theme My Login dla WordPress w wersjach do 7.1.7 jest podatna na atak Cross-Site Request Forgery (CSRF) z powodu błędnej lub brakującej walidacji nonce w funkcji tml_admin_save_ms_settings(). Atakujący może nakłonić administratora do wykonania nieautoryzowanej zmiany ustawień motywu w środowisku multisite.
Wpływ biznesowy
Podatność pozwala na nieautoryzowaną zmianę ustawień motywu w instalacjach WordPress multisite, co może prowadzić do niezamierzonych modyfikacji konfiguracji i potencjalnego obniżenia bezpieczeństwa serwisu. Administratorzy powinni zwrócić szczególną uwagę na środowiska multisite korzystające z tej wtyczki, aby uniknąć ryzyka wykorzystania tej luki.
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Theme My Login i ich zastosowanie. W przypadku braku natychmiastowej aktualizacji, ogranicz dostęp administratorów do podejrzanych linków oraz monitoruj logi pod kątem nietypowych działań. Warto również przeprowadzić przegląd konfiguracji multisite i edukować administratorów o ryzyku kliknięcia w nieznane odnośniki.