Analityczne wykorzystywanie plików cookies
CVE-2024-7647: podatność CSRF w wtyczce OTA Sync Booking Engine Widget dla WordPress
Wtyczka OTA Sync Booking Engine Widget dla WordPress ma lukę CSRF umożliwiającą zdalną modyfikację ustawień i wstrzyknięcie złośliwego kodu. Sprawdź aktualizacje.
- CVSS
- 6.1 MEDIUM
- EPSS
- 11.84%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- ota sync booking engine widget
Co wiadomo
Wtyczka OTA Sync Booking Engine Widget dla WordPress do wersji 1.2.7 włącznie jest podatna na atak Cross-Site Request Forgery (CSRF) z powodu błędnej lub brakującej walidacji nonce w funkcji otasync_widget_settings_fnc(). Atakujący może nakłonić administratora do wykonania złośliwego działania, co pozwala na zmianę ustawień wtyczki i wstrzyknięcie złośliwych skryptów.
Wpływ biznesowy
Podatność ta umożliwia nieautoryzowanym osobom modyfikację ustawień wtyczki poprzez oszukańcze żądania, co może prowadzić do kompromitacji witryny WordPress, w tym wstrzyknięcia złośliwego kodu. Operatorzy IT powinni traktować tę lukę jako średniego ryzyka, zwłaszcza jeśli wtyczka jest używana w środowisku z wieloma administratorami lub dostępem zewnętrznym.
Rekomendowane działania administratora
Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki OTA Sync Booking Engine Widget i ich wdrożenie. W przypadku braku łatki należy ograniczyć dostęp do panelu administracyjnego, monitorować logi pod kątem podejrzanych działań oraz edukować administratorów w zakresie unikania klikania podejrzanych linków. Priorytetowo traktuj przegląd i aktualizację zabezpieczeń wtyczek WordPress.