Analytical use of cookies
Уразливість Cross-Site Request Forgery у Website Builder від SeedProd
Виявлено уразливість CSRF у плагіні Website Builder від SeedProd для WordPress, що дозволяє змінювати токен Stripe Connect через підроблені запити.
- CVSS
- 4.3 MEDIUM
- EPSS
- 20.18%
- Активно використовується
- немає в KEV
- Продукт
- website builder by seedprod
Що відомо
Плагін Website Builder від SeedProd для WordPress у версіях до 6.15.13.1 включно має уразливість Cross-Site Request Forgery через відсутність або неправильну перевірку nonce у файлі builder.php. Зловмисники можуть змінити токен Stripe Connect, змусивши адміністратора сайту виконати шкідливу дію.
Бізнес-вплив
Ця уразливість дозволяє неавторизованим атакуючим змінювати налаштування Stripe Connect, що може призвести до порушення платіжних процесів або компрометації фінансових даних. Власники сайтів і ІТ-оператори повинні враховувати ризики несанкціонованих змін конфігурації, які можуть вплинути на бізнес-операції та довіру користувачів.
Рекомендовані дії адміністратора
Рекомендується перевірити наявність оновлень плагіна Website Builder від SeedProd і застосувати їх, якщо доступні. Якщо оновлення відсутні, слід обмежити доступ до адміністративної панелі, переглянути журнали на предмет підозрілих дій і підвищити обізнаність адміністраторів щодо фішингових атак. Важливо також впровадити додаткові заходи безпеки для захисту платіжних інтеграцій.