CVE-2026-4133: Luki CSRF w wtyczce TextP2P Texting Widget dla WordPress

Co wiadomo

Wtyczka TextP2P Texting Widget dla WordPress do wersji 1.7 jest podatna na atak Cross-Site Request Forgery (CSRF) z powodu braku weryfikacji nonce podczas aktualizacji ustawień. Atakujący może zmienić konfigurację wtyczki, w tym tytuły, wiadomości, dane API, kolory i ustawienia reCAPTCHA, podszywając się pod administratora.

Wpływ biznesowy

Podatność umożliwia nieautoryzowanym osobom modyfikację kluczowych ustawień wtyczki, co może prowadzić do zmiany wyglądu i funkcjonalności chat widgetu oraz potencjalnie obniżyć bezpieczeństwo strony. Może to wpłynąć na doświadczenie użytkowników i zaufanie do serwisu, a także narazić na ryzyko dalszych ataków.

Rekomendowane działania administratora

Administratorzy powinni zweryfikować dostępność aktualizacji wtyczki TextP2P Texting Widget i niezwłocznie je zastosować. W przypadku braku łatki zaleca się ograniczenie dostępu do panelu administracyjnego, monitorowanie logów pod kątem podejrzanych działań oraz edukację administratorów w zakresie unikania klikania podejrzanych linków. Priorytetowo należy ocenić ryzyko i wdrożyć dodatkowe mechanizmy ochronne, takie jak weryfikacja dwuskładnikowa.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference