CVE-2025-15611: luka CSRF w wtyczce Popup Box dla WordPress

Co wiadomo

Wtyczka Popup Box dla WordPress w wersjach przed 5.5.0 nieprawidłowo weryfikuje nonce w funkcji add_or_edit_popupbox(), co umożliwia ataki Cross-Site Request Forgery. Atakujący może zmusić administratora do wykonania nieautoryzowanych zmian popupów zawierających złośliwy JavaScript.

Wpływ biznesowy

Luka pozwala na wykonanie nieautoryzowanych zmian w popupach zarówno w panelu administratora, jak i na stronie frontendowej, co może prowadzić do uruchomienia złośliwego kodu JavaScript. Może to skutkować naruszeniem bezpieczeństwa witryny, utratą danych lub reputacji. Operatorzy powinni traktować tę lukę jako średniego ryzyka i odpowiednio ją adresować.

Rekomendowane działania administratora

Zaleca się jak najszybsze zaktualizowanie wtyczki Popup Box do wersji 5.5.0 lub nowszej udostępnionej przez producenta. W przypadku braku możliwości aktualizacji, należy ograniczyć dostęp administratorów do podejrzanych stron oraz monitorować logi pod kątem nietypowych działań. Warto również przeprowadzić przegląd i weryfikację popupów pod kątem nieautoryzowanych zmian.

Źródła

• NVD
• Reference