Analityczne wykorzystywanie plików cookies
CVE-2025-9944: Wrażliwość CSRF w wtyczce Professional Contact Form dla WordPress
Wtyczka Professional Contact Form do WordPress ma podatność CSRF umożliwiającą wysyłkę fałszywych e-maili. Sprawdź zalecenia bezpieczeństwa.
- CVSS
- 4.3 MEDIUM
- EPSS
- 2.56%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- -
Co wiadomo
Wtyczka Professional Contact Form dla WordPress do wersji 1.0.0 włącznie jest podatna na atak Cross-Site Request Forgery (CSRF) z powodu braku lub błędnej walidacji nonce w funkcji watch_for_contact_form_submit. Pozwala to nieautoryzowanym atakującym na wywołanie wysyłki testowego e-maila, jeśli uda im się nakłonić administratora do kliknięcia w spreparowany link.
Wpływ biznesowy
Atak CSRF może prowadzić do niezamierzonego wysłania testowych wiadomości e-mail przez administratorów stron, co może skutkować nadużyciami zasobów serwera lub obniżeniem reputacji domeny. Choć podatność ma średni poziom ryzyka, organizacje korzystające z tej wtyczki powinny zwrócić uwagę na potencjalne nadużycia i możliwe zakłócenia w działaniu usług e-mail.
Rekomendowane działania administratora
Zaleca się sprawdzenie dostępności aktualizacji wtyczki Professional Contact Form i ich niezwłoczne zastosowanie. W przypadku braku łatki warto ograniczyć dostęp do panelu administracyjnego, monitorować logi pod kątem nietypowych działań oraz edukować administratorów w zakresie unikania klikania w podejrzane linki. Priorytetowo należy ocenić ryzyko i wdrożyć dodatkowe mechanizmy ochronne, takie jak weryfikacja dwuskładnikowa.