Уразливість CSRF у плагіні Wishlist for WooCommerce

Що відомо

Плагін Wishlist for WooCommerce для WordPress має уразливість Cross-Site Request Forgery (CSRF) у версіях до 3.1.7 включно через відсутність або неправильну перевірку nonce у функції 'save_to_multiple_wishlist'. Це дозволяє неавторизованим зловмисникам змінювати налаштування та впроваджувати шкідливі скрипти, якщо вони переконають адміністратора сайту виконати певну дію.

Бізнес-вплив

Уразливість може призвести до несанкціонованих змін у налаштуваннях плагіна та впровадження шкідливого коду, що ставить під загрозу безпеку вебсайту. Це може вплинути на довіру користувачів і призвести до потенційних втрат даних або порушення роботи сайту. Власникам інфраструктури слід оцінити ризики та пріоритетність оновлення.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна від розробника та застосувати їх. Якщо оновлення недоступне, слід обмежити доступ адміністративних облікових записів, переглянути журнали безпеки на предмет підозрілої активності та мінімізувати ризик шляхом зменшення експозиції сайту. Також варто інформувати адміністраторів про небезпеку виконання неперевірених дій за посиланнями.

Джерела

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference