Уразливість CSRF у плагіні Ultimate Viral Quiz для WordPress

Що відомо

Плагін Ultimate Viral Quiz для WordPress має уразливість Cross-Site Request Forgery (CSRF) у версіях до 1.0 включно через відсутність або неправильну перевірку nonce у функції thesave_options(). Це дозволяє неавторизованим зловмисникам змінювати налаштування плагіна, якщо вони переконають адміністратора сайту виконати певну дію, наприклад, перейти за шкідливим посиланням.

Бізнес-вплив

Уразливість може призвести до несанкціонованих змін налаштувань плагіна, що потенційно впливає на функціональність та безпеку вебсайту. Для власників інфраструктури це означає ризик компрометації адміністративних налаштувань без прямого доступу до облікових даних. Важливо вчасно виявляти та усувати такі загрози, щоб уникнути подальших атак.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна від розробника та застосувати їх у разі доступності. Якщо оновлення відсутні, слід обмежити доступ до адміністративних функцій плагіна, впровадити додаткові механізми перевірки запитів (наприклад, nonce), а також переглянути журнали активності на предмет підозрілих дій. Важливо інформувати адміністраторів про ризики переходу за неперевіреними посиланнями.

Джерела

• NVD
• Reference
• Reference