CVE-2025-2871: Luka CSRF w wtyczce WordPress Mega Menu – QuadMenu do wersji 3.2.0

Co wiadomo

Wtyczka WordPress Mega Menu – QuadMenu jest podatna na atak Cross-Site Request Forgery (CSRF) w wersjach do 3.2.0 włącznie, z powodu braku lub błędnej walidacji nonce w funkcji ajax_dismiss_notice(). Atakujący może zmienić metadane użytkownika, w tym uprawnienia administratora, poprzez nakłonienie go do kliknięcia spreparowanego linku.

Wpływ biznesowy

Ta luka może prowadzić do obniżenia uprawnień administratora, co wpływa na zarządzanie dostępem i bezpieczeństwo witryny. Operatorzy IT powinni zwrócić uwagę na możliwość nieautoryzowanych zmian w profilach użytkowników, co może skutkować ograniczeniem kontroli nad systemem i potencjalnym ryzykiem dalszych ataków.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki QuadMenu i jej instalację. W międzyczasie warto ograniczyć dostęp administratorów do podejrzanych linków, monitorować logi pod kątem nietypowych zmian w metadanych użytkowników oraz przeprowadzić przegląd uprawnień. Priorytetowo traktuj aktualizacje i stosuj zasady minimalnych uprawnień.

Źródła

• NVD
• Reference
• Reference
• Reference