Уразливість CSRF у плагіні Asgaros Forum для WordPress (CVE-2025-12901)

Що відомо

Плагін Asgaros Forum для WordPress версій до 3.2.1 включно має уразливість Cross-Site Request Forgery (CSRF) через відсутність перевірки nonce у функції set_subscription_level(). Це дозволяє неавторизованим зловмисникам змінювати налаштування підписки автентифікованих користувачів шляхом підроблених запитів.

Бізнес-вплив

Уразливість може призвести до несанкціонованих змін у налаштуваннях користувачів, що потенційно впливає на функціональність форуму та довіру користувачів. Адміністратори сайтів на WordPress, які використовують цей плагін, повинні враховувати ризики маніпуляцій через CSRF, особливо якщо користувачі мають різні рівні підписок.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна Asgaros Forum та встановити останню версію, яка усуває цю уразливість. Якщо оновлення недоступне, обмежте доступ до функцій зміни підписки, впровадьте додаткові механізми перевірки запитів і перегляньте журнали активності на предмет підозрілих дій. Пріоритезуйте оновлення та моніторинг для зниження ризиків.

Джерела

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference