Уразливість CSRF у плагіні Password for WP для WordPress (CVE-2024-11419)

Що відомо

Плагін Password for WP для WordPress має уразливість Cross-Site Request Forgery (CSRF) у версіях до 1.5 включно через відсутність або некоректну перевірку nonce у функції get3_init_admin_page(). Це дозволяє неавторизованим зловмисникам змінювати налаштування та впроваджувати шкідливі скрипти, якщо адміністратор сайту виконає шкідливу дію, наприклад, клікне на посилання.

Бізнес-вплив

Для власників сайтів на WordPress, які використовують цей плагін, уразливість може призвести до несанкціонованих змін конфігурації та впровадження шкідливого коду, що ставить під загрозу безпеку сайту та даних користувачів. Це може спричинити порушення роботи сайту, компрометацію облікових записів та втрату довіри користувачів.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна Password for WP та встановити їх, якщо вони доступні. Якщо оновлення відсутні, слід обмежити доступ до адміністративної панелі, впровадити додаткові заходи захисту від CSRF, переглянути журнали безпеки на предмет підозрілої активності та підвищити обізнаність адміністраторів щодо ризиків кліків на підозрілі посилання.

Джерела

• NVD
• Reference
• Reference