Analytical use of cookies
Уразливість CSRF у плагіні OTA Sync Booking Engine Widget для WordPress
Виявлено уразливість CSRF у плагіні OTA Sync Booking Engine Widget для WordPress версій до 1.2.7, що дозволяє змінювати налаштування через підроблені запити.
- CVSS
- 6.1 MEDIUM
- EPSS
- 11.84%
- Активно використовується
- немає в KEV
- Продукт
- ota sync booking engine widget
Що відомо
Плагін OTA Sync Booking Engine Widget для WordPress версій до 1.2.7 включно містить уразливість Cross-Site Request Forgery (CSRF) через відсутність або некоректну перевірку nonce у функції otasync_widget_settings_fnc(). Це дозволяє неавторизованим зловмисникам змінювати налаштування плагіна та впроваджувати шкідливі скрипти, якщо вони переконають адміністратора сайту виконати певну дію, наприклад, перейти за посиланням.
Бізнес-вплив
Для власників вебсайтів на WordPress, які використовують цей плагін, уразливість може призвести до компрометації налаштувань плагіна та потенційного впровадження шкідливого коду. Це створює ризик для безпеки сайту, може вплинути на довіру користувачів та призвести до порушень роботи сервісів бронювання. ІТ-операторам слід врахувати можливість несанкціонованих змін і підвищити увагу до моніторингу активності адміністративних дій.
Рекомендовані дії адміністратора
Рекомендується перевірити наявність оновлень плагіна OTA Sync Booking Engine Widget від розробника та встановити їх у разі доступності. Якщо оновлення відсутні, слід обмежити доступ до адміністративної панелі, впровадити додаткові механізми захисту від CSRF, переглянути журнали активності адміністратора на предмет підозрілих дій і підвищити обізнаність адміністраторів щодо небезпеки переходу за підозрілими посиланнями.