CVE-2025-12132: WP Custom Admin Login Page Logo narażony na atak CSRF

Co wiadomo

Wtyczka WP Custom Admin Login Page Logo dla WordPressa do wersji 1.4.8.4 włącznie posiada lukę typu Cross-Site Request Forgery (CSRF) z powodu braku lub błędnej walidacji nonce w funkcji wpclpl_save. Atakujący może nakłonić administratora do wykonania złośliwego żądania, co pozwala na zmianę ustawień wtyczki.

Wpływ biznesowy

Luka CSRF umożliwia nieautoryzowanym osobom modyfikację konfiguracji wtyczki poprzez wykorzystanie zaufania administratora do strony. Może to prowadzić do niezamierzonych zmian w wyglądzie lub funkcjonalności panelu logowania WordPress, co wpływa na bezpieczeństwo i stabilność środowiska CMS. Operatorzy powinni traktować tę lukę jako średniego ryzyka, zwłaszcza w środowiskach z wieloma administratorami.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki u jej dostawcy i wdrożenie poprawek. W międzyczasie warto ograniczyć dostęp do panelu administracyjnego, monitorować logi pod kątem podejrzanych działań oraz edukować administratorów o ryzyku klikania w nieznane linki. Wdrożenie dodatkowych mechanizmów uwierzytelniania może również zmniejszyć ryzyko wykorzystania tej luki.

Źródła

• NVD
• Reference
• Reference