Analityczne wykorzystywanie plików cookies
Luka CSRF w wtyczce Purchase and Expense Manager dla WordPress
Luka CSRF w wtyczce Purchase and Expense Manager do WordPress umożliwia usunięcie danych zakupów przez atakujących. Zalecana aktualizacja i monitorowanie.
- CVSS
- 4.3 MEDIUM
- EPSS
- 2.9%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- -
Co wiadomo
Wtyczka Purchase and Expense Manager dla WordPress do wersji 1.1.2 włącznie jest podatna na atak Cross-Site Request Forgery (CSRF) z powodu braku walidacji nonce w funkcji 'sup_pt_handle_deletion'. Pozwala to nieautoryzowanym atakującym na usunięcie dowolnych rekordów zakupów, jeśli uda im się nakłonić administratora do kliknięcia w spreparowany link.
Wpływ biznesowy
Atakujący mogą usunąć ważne dane zakupowe bez autoryzacji, co może prowadzić do utraty danych i zakłóceń w zarządzaniu finansami firmy. W przypadku wykorzystania tej luki, administratorzy mogą nieświadomie wykonać niepożądane działania, co wpływa na integralność systemu i może wymagać czasochłonnej naprawy.
Rekomendowane działania administratora
Zaleca się jak najszybsze zaktualizowanie wtyczki do wersji po 1.1.2, jeśli jest dostępna. W przypadku braku aktualizacji, ogranicz dostęp do panelu administracyjnego oraz monitoruj logi pod kątem podejrzanych działań. Warto również edukować administratorów, aby nie klikali w podejrzane linki i stosować dodatkowe mechanizmy zabezpieczające, takie jak weryfikacja dwuskładnikowa.