CVE-2025-11976: Luka CSRF w wtyczce FuseWP do WordPress

Co wiadomo

Wtyczka FuseWP do WordPress, służąca do synchronizacji użytkowników z listami mailingowymi i automatyzacją marketingu, jest podatna na atak Cross-Site Request Forgery (CSRF) we wszystkich wersjach do 1.1.23.0 włącznie. Brak poprawnej walidacji nonce w funkcji save_changes umożliwia nieautoryzowanym atakującym modyfikację reguł synchronizacji poprzez spreparowane żądania, jeśli uda im się nakłonić administratora do kliknięcia w złośliwy link.

Wpływ biznesowy

Podatność ta może pozwolić atakującym na nieautoryzowaną zmianę ustawień synchronizacji użytkowników, co może prowadzić do niezamierzonych modyfikacji danych lub naruszenia integralności procesów marketingowych. Administratorzy i właściciele infrastruktury powinni zwrócić uwagę na potencjalne ryzyko manipulacji konfiguracją wtyczki, które może wpłynąć na działanie systemów mailingowych i automatyzacji marketingu.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki FuseWP u jej dostawcy i wdrożenie najnowszej wersji zawierającej poprawkę. W międzyczasie warto ograniczyć dostęp administratorów do panelu WordPress oraz monitorować logi pod kątem podejrzanych działań. Dodatkowo, należy edukować administratorów o ryzyku kliknięcia w nieznane linki, aby zmniejszyć ryzyko wykorzystania podatności CSRF.

Źródła

• NVD
• Reference
• Reference