Analityczne wykorzystywanie plików cookies
CVE-2025-9631: podatność CSRF w wtyczce AutoCatSet dla WordPress
AutoCatSet do WordPress ma lukę CSRF do wersji 2.1.4, umożliwiającą wymuszenie rekategoryzacji wpisów. Sprawdź zalecenia bezpieczeństwa.
- CVSS
- 4.3 MEDIUM
- EPSS
- 4.74%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- -
Co wiadomo
Wtyczka AutoCatSet dla WordPress w wersjach do 2.1.4 włącznie jest podatna na atak Cross-Site Request Forgery (CSRF) z powodu braku lub błędnej walidacji nonce w funkcji autocatset_ajax. Pozwala to nieautoryzowanym atakującym na wymuszenie automatycznej rekategoryzacji wpisów, jeśli uda im się nakłonić administratora do kliknięcia w spreparowany link.
Wpływ biznesowy
Podatność może prowadzić do niezamierzonych zmian w strukturze kategorii wpisów na stronie, co może wpłynąć na organizację i prezentację treści. Atakujący nie uzyskuje pełnej kontroli nad serwisem, jednak manipulacja kategoriami może zakłócić działanie witryny i wpłynąć na doświadczenie użytkowników. Operatorzy powinni traktować tę lukę jako średniego ryzyka, zwłaszcza na stronach z wieloma administratorami.
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki AutoCatSet i ich wdrożenie. W przypadku braku łatki warto ograniczyć dostęp administratorów do nieznanych lub podejrzanych linków oraz monitorować logi pod kątem nietypowych żądań autocatset_ajax. Dodatkowo warto rozważyć wdrożenie mechanizmów ochrony CSRF i edukację administratorów w zakresie bezpieczeństwa klikanych linków.