CVE-2025-10377: podatność CSRF w wtyczce System Dashboard dla WordPress

Co wiadomo

Wtyczka System Dashboard dla WordPress do wersji 2.8.20 włącznie jest podatna na atak Cross-Site Request Forgery (CSRF) z powodu braku walidacji nonce w funkcji sd_toggle_logs(). Pozwala to nieautoryzowanym atakującym na zmianę krytycznych ustawień logowania poprzez nakłonienie administratora do kliknięcia w spreparowany link.

Wpływ biznesowy

Podatność umożliwia atakującym manipulację ustawieniami logów, takimi jak logi dostępu do stron, błędów i dostarczania e-maili, co może utrudnić wykrywanie incydentów bezpieczeństwa i prowadzić do ukrycia działań atakujących. Operatorzy IT powinni zwrócić uwagę na potencjalne ryzyko ingerencji w mechanizmy monitoringu i audytu systemu.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki System Dashboard i ich wdrożenie. W międzyczasie warto ograniczyć dostęp administratorów do podejrzanych linków oraz monitorować logi pod kątem nietypowych zmian w ustawieniach logowania. Przegląd i wzmocnienie mechanizmów uwierzytelniania żądań (np. nonce) jest kluczowe.

Źródła

• NVD
• Reference
• Reference
• Reference