CVE-2025-13140: Luka CSRF w wtyczce SurveyJS Drag & Drop WordPress Form Builder

Co wiadomo

Wtyczka SurveyJS Drag & Drop WordPress Form Builder do WordPressa jest podatna na atak Cross-Site Request Forgery (CSRF) we wszystkich wersjach do 1.12.20 włącznie. Brak walidacji nonce w akcji AJAX SurveyJS_DeleteSurvey umożliwia nieautoryzowanym atakującym usuwanie ankiet poprzez spreparowane żądania, jeśli uda im się nakłonić administratora do kliknięcia w złośliwy link.

Wpływ biznesowy

Podatność może prowadzić do nieautoryzowanego usuwania ankiet na stronie, co wpływa na integralność i dostępność danych. Administratorzy stron korzystających z tej wtyczki powinni być świadomi ryzyka utraty ważnych informacji oraz potencjalnych zakłóceń w działaniu usług. Atakujący nie musi posiadać konta, wystarczy nakłonić administratora do wykonania określonej akcji.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki u dostawcy oraz ich wdrożenie. W międzyczasie warto ograniczyć dostęp do funkcji usuwania ankiet tylko do zaufanych użytkowników oraz monitorować logi serwera pod kątem podejrzanych żądań. Należy także edukować administratorów w zakresie unikania klikania w nieznane linki.

Źródła

• NVD
• Reference
• Reference
• Reference