CVE-2026-9730: Luki CSRF w wtyczce Remove NoFollow Commenter URL dla WordPress

Co wiadomo

Wtyczka Remove NoFollow Commenter URL dla WordPress do wersji 1.0 włącznie jest podatna na atak Cross-Site Request Forgery (CSRF) z powodu braku lub błędnej walidacji nonce w funkcji gmz_comment_settings_save. Atakujący może zmienić ustawienia wyświetlania komentarzy, nakłaniając administratora do kliknięcia w spreparowany link.

Wpływ biznesowy

Podatność umożliwia nieautoryzowaną zmianę ustawień wtyczki przez atak CSRF, co może prowadzić do niezamierzonych zmian w konfiguracji strony. Może to wpłynąć na sposób wyświetlania komentarzy, potencjalnie obniżając jakość zarządzania treścią i zaufanie użytkowników. Administratorzy powinni zwrócić uwagę na tę lukę, aby zapobiec nieautoryzowanym modyfikacjom.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Remove NoFollow Commenter URL i ich zastosowanie. W przypadku braku łatki należy ograniczyć ekspozycję wtyczki, monitorować logi pod kątem podejrzanych działań oraz edukować administratorów w zakresie unikania klikania w podejrzane linki. Priorytetowo traktuj przegląd i zabezpieczenie środowiska WordPress.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference