CVE-2025-5142: luka CSRF w wtyczce Simple Page Access Restriction dla WordPress

Co wiadomo

Wtyczka Simple Page Access Restriction do WordPressa jest podatna na atak Cross-Site Request Forgery (CSRF) we wszystkich wersjach do 1.0.31 włącznie. Brak walidacji nonce i sprawdzenia uprawnień w skrypcie settings.php umożliwia nieautoryzowanym atakującym manipulację ustawieniami ochrony dostępu do stron i wpisów.

Wpływ biznesowy

Atakujący mogą zdalnie zmieniać ustawienia ochrony dostępu do wszystkich typów wpisów i taksonomii, wymuszać publiczny lub prywatny status nowych stron i wpisów, usuwać dane wtyczki po jej odinstalowaniu oraz przeprowadzać ataki przekierowań URL. To może prowadzić do naruszenia poufności treści oraz destabilizacji działania witryny WordPress, co stanowi istotne ryzyko dla właścicieli i administratorów stron.

Rekomendowane działania administratora

Administratorzy powinni niezwłocznie zweryfikować dostępność aktualizacji wtyczki Simple Page Access Restriction i zastosować je, jeśli są dostępne. W przypadku braku łatki zaleca się ograniczenie dostępu do panelu administracyjnego, monitorowanie logów pod kątem podejrzanych działań oraz edukację administratorów w zakresie unikania klikania w podejrzane linki. Priorytetowo należy ocenić ryzyko i wprowadzić dodatkowe zabezpieczenia CSRF.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference