Analityczne wykorzystywanie plików cookies
Luka CSRF w wtyczce User Generator and Importer dla WordPress umożliwia podniesienie uprawnień
Wtyczka User Generator and Importer dla WordPress ma poważną lukę CSRF umożliwiającą atakującym tworzenie kont administratorów. Zalecana szybka aktualizacja i monitorowanie.
- CVSS
- 8.8 HIGH
- EPSS
- 5.65%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- -
Co wiadomo
Wtyczka User Generator and Importer dla WordPress do wersji 1.2.2 jest podatna na atak Cross-Site Request Forgery (CSRF) w funkcji importu użytkowników z pliku CSV. Brak weryfikacji nonce pozwala atakującym na tworzenie kont administratorów poprzez spreparowane żądania, jeśli uda im się nakłonić administratora do kliknięcia w złośliwy link.
Wpływ biznesowy
Atakujący mogą uzyskać nieautoryzowany dostęp z uprawnieniami administratora, co stwarza poważne ryzyko dla bezpieczeństwa witryny i danych. Może to prowadzić do przejęcia kontroli nad stroną, modyfikacji treści, kradzieży danych lub dalszych ataków na infrastrukturę IT.
Rekomendowane działania administratora
Administratorzy powinni jak najszybciej zweryfikować wersję wtyczki i zaktualizować ją do najnowszej dostępnej wersji. W przypadku braku aktualizacji zaleca się ograniczenie dostępu do funkcji importu, monitorowanie logów pod kątem podejrzanych działań oraz edukację użytkowników o ryzyku kliknięcia w nieznane linki. Warto również rozważyć wdrożenie dodatkowych mechanizmów ochrony przed CSRF.