CVE-2025-7839: Wrażliwość CSRF w wtyczce Restore Permanently delete Post or Page Data dla WordPress

Co wiadomo

Wtyczka Restore Permanently delete Post or Page Data do WordPressa jest podatna na atak Cross-Site Request Forgery (CSRF) we wszystkich wersjach do 1.0 włącznie. Brak lub błędna weryfikacja nonce w funkcji rp_dpo_dpa_ajax_dp_delete_data() umożliwia nieautoryzowanym atakującym usunięcie danych, jeśli uda im się nakłonić administratora do kliknięcia w spreparowany link.

Wpływ biznesowy

Podatność ta może prowadzić do niezamierzonego usunięcia danych przez administratorów stron WordPress korzystających z tej wtyczki, co może skutkować utratą ważnych treści i zakłóceniem działania witryny. Atakujący nie musi być uwierzytelniony, co zwiększa ryzyko wykorzystania tej luki. Właściciele infrastruktury powinni zwrócić uwagę na potencjalne zagrożenia dla integralności danych i reputacji serwisu.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki u jej dostawcy oraz jej instalację. W przypadku braku łatki należy ograniczyć dostęp do funkcji usuwania danych, monitorować logi pod kątem podejrzanych działań oraz edukować administratorów w zakresie unikania klikania w nieznane linki. Priorytetem jest minimalizacja ekspozycji na ataki CSRF.

Źródła

• NVD
• Reference
• Reference