CVE-2026-7616: Luka CSRF w wtyczce Zawgyi Embed dla WordPress

Co wiadomo

Wtyczka Zawgyi Embed dla WordPress do wersji 2.1.1 jest podatna na atak Cross-Site Request Forgery (CSRF) z powodu braku lub błędnej walidacji nonce w funkcji zawgyi_adminpage. Atakujący może nakłonić administratora do wykonania nieautoryzowanej zmiany ustawienia zawgyi_forceCSS poprzez sfałszowany żądanie POST.

Wpływ biznesowy

Podatność ta umożliwia nieautoryzowanym osobom modyfikację ustawień wtyczki, co może prowadzić do niezamierzonych zmian w wyglądzie lub funkcjonowaniu strony. Dla operatorów IT i właścicieli infrastruktury oznacza to ryzyko ingerencji w konfigurację witryny bez ich wiedzy, co może wpłynąć na stabilność i bezpieczeństwo środowiska WordPress.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Zawgyi Embed u jej dostawcy oraz ich wdrożenie. W międzyczasie warto ograniczyć dostęp administratorów do panelu oraz monitorować logi pod kątem podejrzanych żądań POST kierowanych do options-general.php?page=zawgyi_embed. Należy również edukować administratorów, aby nie klikali w podejrzane linki, które mogą prowadzić do wykonania nieautoryzowanych akcji.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference