Уразливість CSRF у плагіні Peter’s Custom Anti-Spam для WordPress

Що відомо

Плагін Peter’s Custom Anti-Spam для WordPress версій до 3.2.3 включно має уразливість Cross-Site Request Forgery через відсутність перевірки nonce у функції cas_register_post(). Це дозволяє неавторизованим зловмисникам додавати електронні адреси до чорного списку, якщо вони переконають адміністратора сайту виконати певну дію, наприклад, перейти за шкідливим посиланням.

Бізнес-вплив

Уразливість може призвести до неправомірного блокування електронних адрес, що впливає на коректність роботи системи фільтрації спаму та може зашкодити комунікаціям організації. ІТ-оператори повинні враховувати ризик соціальної інженерії, що може призвести до несанкціонованих змін у налаштуваннях плагіна.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна від розробника та застосувати їх у разі доступності. Якщо оновлення відсутні, слід обмежити доступ до адміністративної панелі, підвищити обізнаність адміністраторів щодо фішингових атак, переглянути журнали подій на предмет підозрілих дій і пріоритезувати усунення цієї уразливості.

Джерела

• NVD
• Reference
• Reference
• Reference
• Reference