CVE-2025-1441: podatność CSRF w wtyczce Royal Elementor Addons dla WordPress

Co wiadomo

Wtyczka Royal Elementor Addons i Templates dla WordPress do wersji 1.7.1007 włącznie jest podatna na atak Cross-Site Request Forgery (CSRF) z powodu błędnej lub brakującej walidacji nonce w funkcji 'wpr_filter_woo_products'. Atakujący może nakłonić administratora do wykonania złośliwego działania, np. kliknięcia w spreparowany link, co pozwala na wstrzyknięcie złośliwych skryptów.

Wpływ biznesowy

Podatność CSRF może prowadzić do nieautoryzowanych działań wykonywanych w kontekście konta administratora, co zagraża integralności i bezpieczeństwu witryny WordPress. Może to skutkować modyfikacją zawartości, wstrzyknięciem złośliwego kodu lub innymi niepożądanymi skutkami, wpływając negatywnie na reputację i dostępność usług online.

Rekomendowane działania administratora

Administratorzy powinni niezwłocznie zweryfikować wersję wtyczki Royal Elementor Addons i Templates oraz zastosować dostępne aktualizacje od dostawcy. W przypadku braku łatki zaleca się ograniczenie dostępu do panelu administracyjnego, monitorowanie logów pod kątem podejrzanych działań oraz edukację użytkowników w zakresie unikania klikania w podejrzane linki. Priorytetowo należy ocenić ryzyko i wdrożyć dodatkowe mechanizmy zabezpieczające, takie jak dwuskładnikowa autoryzacja.

Źródła

• NVD
• Reference
• Reference
• Reference