Уразливість CSRF у плагіні DASHBOARD BUILDER для WordPress дозволяє SQL-ін’єкції

Що відомо

Плагін DASHBOARD BUILDER для WordPress версій до 1.5.7 включно має уразливість Cross-Site Request Forgery через відсутність перевірки nonce у файлі dashboardbuilder-admin.php. Це дозволяє неавторизованим зловмисникам змінювати SQL-запити та облікові дані бази даних, що використовуються шорткодом [show-dashboardbuilder], через підроблені запити.

Бізнес-вплив

Уразливість може призвести до виконання довільних SQL-запитів на сайті, що відкриває шлях до викрадення даних через публічно доступні графіки. Це створює серйозні ризики для цілісності та конфіденційності інформації, а також може порушити роботу вебресурсу та довіру користувачів.

Рекомендовані дії адміністратора

Адміністраторам рекомендується негайно перевірити наявність оновлень плагіна DASHBOARD BUILDER та застосувати їх. Якщо оновлення недоступні, слід обмежити доступ до адміністративних функцій плагіна, переглянути журнали на предмет підозрілої активності та мінімізувати ризики шляхом зменшення експозиції сайту. Важливо також інформувати користувачів про потенційні загрози та дотримуватися найкращих практик безпеки WordPress.

Джерела

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference