Analityczne wykorzystywanie plików cookies
Luka CSRF w wtyczce SH Contextual Help dla WordPress (CVE-2025-12410)
Wtyczka SH Contextual Help do WordPress ma lukę CSRF umożliwiającą atakującym zmianę ustawień i wstrzyknięcie złośliwego kodu. Sprawdź zalecenia bezpieczeństwa.
- CVSS
- 6.1 MEDIUM
- EPSS
- 3.95%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- -
Co wiadomo
Wtyczka SH Contextual Help dla WordPress do wersji 3.2.1 jest podatna na atak Cross-Site Request Forgery (CSRF) z powodu błędnej lub brakującej walidacji nonce w funkcji sh_contextual_help_dashboard_widget(). Atakujący może nakłonić administratora do wykonania złośliwego żądania, co pozwala na zmianę ustawień wtyczki i wstrzyknięcie złośliwych skryptów.
Wpływ biznesowy
Podatność umożliwia nieautoryzowanym osobom modyfikację ustawień wtyczki poprzez oszukanie administratora, co może prowadzić do wstrzyknięcia złośliwego kodu i potencjalnego przejęcia kontroli nad witryną. Właściciele infrastruktury powinni traktować tę lukę poważnie, gdyż może ona wpłynąć na integralność i bezpieczeństwo serwisu.
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki SH Contextual Help i ich wdrożenie. W przypadku braku łatki, ogranicz ekspozycję panelu administracyjnego, monitoruj logi pod kątem podejrzanych działań oraz edukuj administratorów, aby nie klikali podejrzanych linków. Priorytetyzuj działania naprawcze zgodnie z ryzykiem.