Уразливість CSRF у плагіні UserPro для WordPress (CVE-2023-2440)

Що відомо

Плагін UserPro для WordPress версій до 5.1.1 включно має уразливість Cross-Site Request Forgery (CSRF) через відсутність перевірки nonce у кількох функціях. Це дозволяє неавторизованим зловмисникам змінювати ролі підтверджених користувачів, підвищуючи їхні привілеї до адміністратора шляхом обману адміністратора сайту.

Бізнес-вплив

Уразливість може призвести до підвищення привілеїв на сайті WordPress, що ставить під загрозу безпеку контенту та управління сайтом. Зловмисники можуть отримати адміністративний доступ без авторизації, що може спричинити несанкціоновані зміни, витік даних або повний контроль над сайтом. Власники інфраструктури повинні врахувати високий рівень ризику та пріоритетність усунення цієї проблеми.

Рекомендовані дії адміністратора

Рекомендується негайно перевірити наявність оновлень плагіна UserPro від розробника та застосувати їх. Якщо оновлення недоступні, слід обмежити доступ до адміністративних функцій, впровадити додаткові механізми перевірки запитів, переглянути журнали безпеки на предмет підозрілої активності та підвищити обізнаність адміністраторів щодо фішингових атак. Важливо також регулярно моніторити безпекові оновлення плагіна.

Джерела

• NVD
• Reference
• Reference