Уразливість Cross-Site Request Forgery у плагіні UserPro для WordPress

Що відомо

Плагін UserPro для WordPress версій до 5.1.1 включно має уразливість CSRF через відсутність або некоректну перевірку nonce у функції експорту користувачів. Це дозволяє неавторизованим зловмисникам змусити адміністратора експортувати список користувачів у CSV-файл шляхом обману, наприклад, через перехід за шкідливим посиланням.

Бізнес-вплив

Уразливість може призвести до несанкціонованого експорту даних користувачів, що ставить під загрозу конфіденційність інформації та може порушити політики безпеки організації. Витік даних користувачів може негативно вплинути на довіру клієнтів і призвести до репутаційних та юридичних наслідків.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна UserPro та встановити офіційні патчі від розробника. Якщо оновлення недоступні, слід обмежити доступ до функції експорту користувачів, зменшити поверхню атаки, переглянути журнали безпеки на предмет підозрілих дій і підвищити обізнаність адміністраторів щодо потенційних фішингових атак.

Джерела

• NVD
• Reference
• Reference