Analityczne wykorzystywanie plików cookies
CVE-2026-1877: Auto Post Scheduler dla WordPress narażony na atak CSRF
Auto Post Scheduler do WordPress ma lukę CSRF pozwalającą na zdalną zmianę ustawień. Sprawdź aktualizacje i zabezpiecz swoją stronę.
- CVSS
- 6.1 MEDIUM
- EPSS
- 9.9%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- -
Co wiadomo
Wtyczka Auto Post Scheduler dla WordPress do wersji 1.84 włącznie posiada lukę Cross-Site Request Forgery (CSRF) z powodu braku weryfikacji nonce w funkcji 'aps_options_page'. Atakujący może nakłonić administratora do wykonania złośliwego żądania, co pozwala na zmianę ustawień i wstrzyknięcie złośliwych skryptów.
Wpływ biznesowy
Luka umożliwia nieautoryzowanym osobom modyfikację ustawień wtyczki poprzez oszukanie administratora, co może prowadzić do kompromitacji witryny i wprowadzenia złośliwego kodu. Operatorzy stron korzystających z tej wtyczki powinni rozważyć ryzyko związane z potencjalnym przejęciem kontroli nad konfiguracją i wpływem na bezpieczeństwo użytkowników.
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Auto Post Scheduler i ich wdrożenie. W przypadku braku łatki należy ograniczyć dostęp do panelu administracyjnego, monitorować logi pod kątem podejrzanych działań oraz edukować administratorów, aby nie wykonywali podejrzanych linków lub akcji. Priorytetowo traktuj przegląd i zabezpieczenie środowiska WordPress.