Уразливість CSRF у плагіні Mailchimp List Subscribe Form для WordPress

Що відомо

Плагін Mailchimp List Subscribe Form для WordPress версій до 2.0.0 включно має уразливість Cross-Site Request Forgery (CSRF) через відсутність або некоректну перевірку nonce у функції mailchimp_sf_change_list_if_necessary(). Це дозволяє неавторизованим зловмисникам змінювати списки Mailchimp, обманюючи адміністратора сайту виконати певну дію.

Бізнес-вплив

Для власників сайтів на WordPress, які використовують цей плагін, уразливість може призвести до несанкціонованих змін у списках розсилки Mailchimp, що впливає на управління підписниками та може порушити маркетингові кампанії. Це створює ризик втрати контролю над даними та репутаційні втрати.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна від розробника та негайно застосувати їх. Якщо оновлення недоступні, слід обмежити доступ до адміністративної панелі, впровадити додаткові заходи перевірки автентичності та переглянути журнали активності для виявлення підозрілих дій. Пріоритетно зменшити експозицію вразливого функціоналу.

Джерела

• NVD
• Reference
• Reference