CVE-2026-12002: Luka CSRF w wtyczce Smash Balloon Social Photo Feed dla WordPress

Co wiadomo

Wtyczka Smash Balloon Social Photo Feed – Easy Social Feeds dla WordPress do wersji 6.11.1 jest podatna na atak Cross-Site Request Forgery (CSRF) z powodu błędnej walidacji nonce w funkcji maybe_connection_data. Atakujący może nakłonić administratora do wykonania złośliwego żądania, co pozwala na nadpisanie tokenów dostępu Instagram i Facebook oEmbed.

Wpływ biznesowy

Podatność umożliwia nieautoryzowane zmiany w konfiguracji integracji z mediami społecznościowymi, co może prowadzić do utraty kontroli nad tokenami dostępu i potencjalnego wykorzystania ich do dalszych ataków lub nadużyć. Operatorzy stron powinni traktować tę lukę poważnie, zwłaszcza jeśli korzystają z funkcji integracji z Instagramem i Facebookiem.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki u dostawcy i ich wdrożenie. W międzyczasie warto ograniczyć dostęp administratorów do podejrzanych linków oraz monitorować logi pod kątem nietypowych działań związanych z tokenami oEmbed. Priorytetowo należy ocenić ryzyko i wprowadzić dodatkowe zabezpieczenia CSRF tam, gdzie to możliwe.

Źródła

• NVD
• Reference
• Reference