Уразливість CSRF у плагіні WP Landing Page для WordPress

Що відомо

Плагін WP Landing Page для WordPress має уразливість Cross-Site Request Forgery (CSRF) у версіях до 0.9.3 включно через відсутність перевірки nonce у функції 'wplp_api_update_text'. Це дозволяє неавторизованим зловмисникам оновлювати довільні метадані записів, якщо вони змушують адміністратора сайту виконати певну дію, наприклад, перейти за шкідливим посиланням.

Бізнес-вплив

Уразливість може призвести до несанкціонованого змінення метаданих публікацій на сайті, що може вплинути на цілісність контенту та довіру користувачів. Для операторів IT та власників інфраструктури це означає потенційний ризик компрометації сайту через дії адміністратора, обманутого зловмисником.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна WP Landing Page від розробника та застосувати їх у разі доступності. Якщо оновлення відсутні, слід обмежити доступ до адміністративної панелі, впровадити додаткові механізми захисту від CSRF, переглянути журнали активності на наявність підозрілих дій та підвищити обізнаність адміністраторів щодо безпечної роботи з посиланнями.

Джерела

• NVD
• Reference
• Reference
• Reference