Luka CSRF w wtyczce WP Landing Page dla WordPress (CVE-2025-13629)

Co wiadomo

Wtyczka WP Landing Page dla WordPress do wersji 0.9.3 włącznie jest podatna na atak Cross-Site Request Forgery (CSRF) z powodu braku walidacji nonce w funkcji 'wplp_api_update_text'. Atakujący może nakłonić administratora do wykonania złośliwego żądania, co pozwala na modyfikację dowolnych metadanych wpisów.

Wpływ biznesowy

Ta luka umożliwia nieautoryzowanym osobom aktualizację danych w witrynie poprzez wykorzystanie zaufania administratora, co może prowadzić do niezamierzonych zmian w treści lub konfiguracji strony. Może to wpłynąć na integralność i wiarygodność witryny, a także na doświadczenie użytkowników.

Rekomendowane działania administratora

Administratorzy powinni jak najszybciej sprawdzić dostępność aktualizacji wtyczki WP Landing Page i zastosować je, jeśli są dostępne. W międzyczasie zaleca się ograniczenie dostępu do panelu administracyjnego, monitorowanie logów pod kątem podejrzanych działań oraz edukację administratorów w zakresie unikania klikania w podejrzane linki. Priorytetem jest szybka weryfikacja i wdrożenie poprawek od dostawcy wtyczki.

Źródła

• NVD
• Reference
• Reference
• Reference