CVE-2024-7501: Luki CSRF w wtyczce WordPress Download Plugins and Themes in ZIP

Co wiadomo

Wtyczka Download Plugins and Themes in ZIP dla WordPress do wersji 1.8.7 ma lukę typu Cross-Site Request Forgery (CSRF) w funkcji download_theme(), co pozwala nieautoryzowanym atakującym na pobieranie motywów poprzez spreparowane żądania. W wersjach przed 1.8.6 możliwe było nawet pobranie całych plików strony.

Wpływ biznesowy

Luka umożliwia atakującym podszywanie się pod administratora i pobieranie plików motywów lub całej zawartości witryny, co może prowadzić do wycieku danych i naruszenia integralności strony. Operatorzy powinni traktować tę lukę jako średniego ryzyka, zwłaszcza jeśli korzystają z podatnych wersji wtyczki, i podjąć działania ograniczające ekspozycję serwisu.

Rekomendowane działania administratora

Zaleca się jak najszybszą aktualizację wtyczki Download Plugins and Themes in ZIP do najnowszej wersji dostępnej u dostawcy. W przypadku braku możliwości natychmiastowej aktualizacji, ogranicz dostęp do panelu administracyjnego oraz monitoruj logi pod kątem podejrzanych działań. Przeanalizuj uprawnienia użytkowników i rozważ wdrożenie dodatkowych mechanizmów zabezpieczających przed CSRF.

Źródła

• NVD
• Reference
• Reference