CVE-2025-0393: podatność CSRF w wtyczce Royal Elementor Addons dla WordPress

Co wiadomo

Wtyczka Royal Elementor Addons i Templates dla WordPress do wersji 1.7.1006 włącznie jest podatna na atak Cross-Site Request Forgery (CSRF) z powodu błędnej lub brakującej walidacji nonce w funkcji wpr_filter_grid_posts(). Atakujący może nakłonić administratora strony do wykonania złośliwego działania poprzez spreparowany link.

Wpływ biznesowy

Podatność umożliwia nieautoryzowanym osobom wykonanie niezamierzonych działań na stronie WordPress, co może prowadzić do wstrzyknięcia złośliwych skryptów i potencjalnego przejęcia kontroli nad witryną. Operatorzy stron korzystających z tej wtyczki powinni traktować tę lukę jako średniego ryzyka, zwłaszcza jeśli administratorzy mają dostęp do interfejsu wtyczki.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Royal Elementor Addons i Templates u dostawcy oraz ich wdrożenie. W międzyczasie warto ograniczyć dostęp administratorów do podejrzanych linków, monitorować logi serwera pod kątem nietypowych żądań oraz rozważyć zastosowanie dodatkowych mechanizmów ochrony przed CSRF.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference