Analytical use of cookies
Уразливість CSRF у плагіні CP Contact Form для WordPress
Виявлено уразливість CSRF у CP Contact Form with PayPal для WordPress до версії 1.3.52, що дозволяє додавати дисконтні коди без авторизації.
- CVSS
- 6.5 MEDIUM
- EPSS
- 17.09%
- Активно використовується
- немає в KEV
- Продукт
- cp contact form
Що відомо
Плагін CP Contact Form with PayPal для WordPress містить уразливість Cross-Site Request Forgery (CSRF) у версіях до 1.3.52 включно. Через відсутність або неправильну перевірку nonce у функції cp_contact_form_paypal_check_init_actions зловмисники можуть змусити адміністратора сайту виконати небажані дії, наприклад, додати дисконтні коди.
Бізнес-вплив
Уразливість дозволяє неавторизованим нападникам обійти захист і додавати дисконтні коди, що може призвести до фінансових втрат або зловживання системою знижок. Це створює ризик для бізнесу, особливо якщо плагін використовується на комерційних сайтах з оплатою через PayPal. Власникам інфраструктури слід оцінити потенційний вплив на безпеку та довіру клієнтів.
Рекомендовані дії адміністратора
Рекомендується перевірити наявність оновлень плагіна від розробника dwbooster і застосувати їх у разі доступності. Якщо оновлення відсутні, слід обмежити доступ до адміністративної панелі, перевірити журнали на підозрілі дії та інформувати користувачів про потенційні ризики. Також варто впровадити додаткові заходи захисту від CSRF, наприклад, використання надійних токенів у формах.