Luka CSRF w wtyczce Fast & Fancy Filter – 3F dla WordPress (do wersji 1.2.2)

Co wiadomo

Wtyczka Fast & Fancy Filter – 3F dla WordPress w wersjach do 1.2.2 jest podatna na atak Cross-Site Request Forgery (CSRF) z powodu braku weryfikacji nonce w funkcji saveFields(). Atakujący może zmienić ustawienia filtrów, aktualizować opcje lub tworzyć nowe wpisy filtrów, podszywając się pod administratora.

Wpływ biznesowy

Luka umożliwia nieautoryzowanym osobom modyfikację konfiguracji wtyczki oraz potencjalnie innych opcji WordPressa, co może prowadzić do niepożądanych zmian w działaniu strony lub obniżenia jej bezpieczeństwa. Administratorzy powinni traktować tę podatność jako średniego ryzyka, zwłaszcza jeśli wtyczka jest aktywnie używana do zarządzania filtrami na stronie.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Fast & Fancy Filter – 3F u jej dostawcy i wdrożenie poprawek. W międzyczasie warto ograniczyć dostęp administratorów do podejrzanych linków, monitorować logi pod kątem nietypowych zmian ustawień oraz rozważyć tymczasowe wyłączenie wtyczki, jeśli to możliwe.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference