CVE-2026-4090: Luka CSRF w wtyczce Inquiry Cart dla WordPress

Co wiadomo

Wtyczka Inquiry Cart dla WordPress do wersji 3.4.2 włącznie jest podatna na atak Cross-Site Request Forgery (CSRF) z powodu braku weryfikacji nonce w funkcji rd_ic_settings_page podczas przetwarzania formularza ustawień. Atakujący może zmienić ustawienia wtyczki i wstrzyknąć złośliwe skrypty wykonywane w panelu administratora, jeśli uda mu się nakłonić administratora do kliknięcia w spreparowany link.

Wpływ biznesowy

Podatność umożliwia nieautoryzowaną modyfikację ustawień wtyczki oraz wstrzyknięcie złośliwego kodu, co może prowadzić do przejęcia kontroli nad panelem administracyjnym WordPress. Może to skutkować poważnymi naruszeniami bezpieczeństwa, w tym eskalacją uprawnień i utratą integralności systemu.

Rekomendowane działania administratora

Zaleca się jak najszybszą aktualizację wtyczki Inquiry Cart do wersji nienarażonej na tę lukę. W przypadku braku dostępnej poprawki należy ograniczyć dostęp do panelu administracyjnego, monitorować logi pod kątem podejrzanych działań oraz edukować administratorów, aby nie klikali w podejrzane linki. Warto również rozważyć wdrożenie dodatkowych mechanizmów ochrony przed CSRF.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference