Luka CSV Injection w wtyczce Broken Link Notifier dla WordPress (CVE-2025-6838)

Co wiadomo

Wtyczka Broken Link Notifier dla WordPress w wersjach do 1.3.0 włącznie jest podatna na atak CSV Injection poprzez eksportowane pliki CSV zawierające uszkodzone linki. Atakujący z uprawnieniami co najmniej na poziomie Współpracownika mogą wprowadzić złośliwe dane, które po otwarciu pliku mogą prowadzić do wykonania kodu.

Wpływ biznesowy

Podatność może umożliwić atakującym z dostępem do panelu WordPress na wstrzyknięcie złośliwych danych do plików CSV, które po pobraniu i otwarciu na lokalnym systemie mogą wykonać nieautoryzowany kod. Może to prowadzić do naruszenia bezpieczeństwa systemu i utraty danych, zwłaszcza w środowiskach, gdzie pliki CSV są często eksportowane i analizowane.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Broken Link Notifier i jej instalację. W międzyczasie ogranicz dostęp do panelu WordPress tylko do zaufanych użytkowników oraz monitoruj logi pod kątem podejrzanej aktywności. Rozważ ograniczenie eksportu plików CSV do niezbędnych użytkowników oraz edukację zespołu w zakresie bezpiecznego otwierania plików CSV.

Źródła

• NVD
• Reference
• Reference