CVE-2025-9946: Luka CSRF w wtyczce LockerPress dla WordPress

Co wiadomo

Wtyczka LockerPress – WordPress Security Plugin do wersji 1.0 włącznie jest podatna na atak Cross-Site Request Forgery (CSRF) z powodu braku lub nieprawidłowej walidacji nonce. Pozwala to nieautoryzowanym atakującym na zmianę ustawień i wstrzyknięcie złośliwych skryptów, jeśli uda im się nakłonić administratora do wykonania określonej akcji, np. kliknięcia w link.

Wpływ biznesowy

Podatność ta może prowadzić do nieautoryzowanych zmian w konfiguracji witryny WordPress, co z kolei może skutkować wstrzyknięciem złośliwego kodu i potencjalnym przejęciem kontroli nad stroną. Operatorzy stron korzystających z tej wtyczki powinni traktować tę lukę poważnie, gdyż może ona zagrozić integralności i bezpieczeństwu ich serwisów.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki LockerPress i ich wdrożenie. W przypadku braku łatki należy ograniczyć ekspozycję serwisu, monitorować logi pod kątem podejrzanych działań oraz edukować administratorów, aby nie wykonywali niezweryfikowanych akcji pochodzących z nieznanych źródeł.

Źródła

• NVD
• Reference
• Reference
• Reference