Luka CSRF w wtyczce Petje.af dla WordPress umożliwia usunięcie kont użytkowników

Co wiadomo

Wtyczka Petje.af dla WordPress do wersji 2.1.8 jest podatna na atak Cross-Site Request Forgery (CSRF) z powodu braku weryfikacji nonce w funkcji ajax_revoke_token(). Atakujący może zmusić zalogowanych użytkowników do usunięcia ich kont Petje.af poprzez spreparowany link lub stronę.

Wpływ biznesowy

Ta luka pozwala na nieautoryzowane usunięcie kont użytkowników z rolą 'petjeaf_member', co może prowadzić do utraty dostępu i danych użytkowników oraz zakłóceń w działaniu serwisu. Operatorzy WordPress powinni rozważyć ryzyko związane z potencjalnym nadużyciem tej funkcji, szczególnie w środowiskach z wieloma użytkownikami i ważnymi danymi.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Petje.af i ich wdrożenie. W międzyczasie ogranicz dostęp do funkcji ajax_revoke_token() oraz monitoruj logi pod kątem podejrzanych żądań. Warto również edukować użytkowników o ryzyku klikania nieznanych linków i rozważyć wdrożenie dodatkowych mechanizmów weryfikacji żądań AJAX.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference