CVE-2025-13194: podatność CSRF w wtyczce SurveyJS dla WordPress

Co wiadomo

Wtyczka SurveyJS: Drag & Drop WordPress Form Builder do tworzenia i osadzania formularzy jest podatna na atak Cross-Site Request Forgery (CSRF) we wszystkich wersjach do 2.5.2 włącznie. Brak weryfikacji nonce w akcji AJAX 'SurveyJS_RenameSurvey' umożliwia nieautoryzowanym atakującym zmianę nazw ankiet poprzez spreparowane żądania.

Wpływ biznesowy

Podatność ta może pozwolić atakującym na zmianę nazw ankiet bez wiedzy administratora, co może prowadzić do dezorganizacji danych i utraty integralności formularzy. Choć nie jest to krytyczna luka, może wpłynąć na zaufanie użytkowników i wymaga uwagi zespołów IT zarządzających infrastrukturą WordPress.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki SurveyJS i ich wdrożenie. W przypadku braku łatki należy ograniczyć dostęp do panelu administracyjnego, monitorować logi pod kątem podejrzanych działań oraz edukować administratorów w zakresie unikania klikania w podejrzane linki. Priorytetowo traktuj aktualizacje zabezpieczeń i stosuj mechanizmy ochrony przed CSRF.

Źródła

• NVD
• Reference
• Reference
• Reference