Уразливість CSRF у плагіні Absolute Privacy для WordPress

Що відомо

Плагін Absolute Privacy для WordPress версій до 2.1 включно має уразливість Cross-Site Request Forgery через відсутність перевірки nonce у функції 'abpr_profileShortcode'. Це дозволяє неавторизованим зловмисникам змінювати електронну пошту та пароль користувача, якщо вони переконають адміністратора сайту виконати шкідливу дію.

Бізнес-вплив

Уразливість може призвести до компрометації облікових записів адміністраторів WordPress-сайтів, що впливає на безпеку та цілісність даних. Зловмисники можуть отримати контроль над обліковими записами, змінюючи критичні параметри, що ставить під загрозу роботу вебресурсу та довіру користувачів.

Рекомендовані дії адміністратора

Рекомендується оновити плагін Absolute Privacy до останньої версії, де ця уразливість виправлена. Якщо оновлення недоступне, обмежте доступ до адміністративної панелі, перевірте журнали на підозрілі дії та інформуйте користувачів про потенційні ризики. Також слід впровадити додаткові заходи безпеки, такі як двофакторна автентифікація.

Джерела

• NVD
• Reference
• Reference