Analytical use of cookies
Уразливість CSRF у плагіні FuseWP для WordPress (CVE-2025-11976)
Плагін FuseWP для WordPress має уразливість CSRF, що дозволяє змінювати налаштування синхронізації. Рекомендується оновлення та посилення захисту.
- CVSS
- 4.3 MEDIUM
- EPSS
- 2.74%
- Активно використовується
- немає в KEV
- Продукт
- -
Що відомо
Плагін FuseWP для WordPress, що синхронізує користувачів з email-розсилками, має уразливість Cross-Site Request Forgery (CSRF) у версіях до 1.1.23.0 включно через відсутність або некоректну перевірку nonce у функції save_changes. Зловмисники можуть змусити адміністратора виконати небажані дії, наприклад, змінити правила синхронізації.
Бізнес-вплив
Ця уразливість дозволяє неавторизованим зловмисникам змінювати налаштування синхронізації користувачів, що може призвести до несанкціонованого додавання або редагування правил маркетингових розсилок. Для ІТ-операторів це означає ризик компрометації маркетингових процесів і потенційне порушення конфіденційності даних користувачів.
Рекомендовані дії адміністратора
Рекомендується перевірити наявність оновлень плагіна FuseWP і застосувати їх, якщо вони доступні. Якщо оновлення відсутні, слід обмежити доступ до адміністративної панелі, впровадити додаткові заходи захисту від CSRF, переглянути журнали активності на предмет підозрілих дій і підвищити обізнаність адміністраторів щодо безпечної роботи з посиланнями.