Уразливість CSRF у плагіні LatePoint для WordPress (CVE-2025-14873)

Що відомо

Плагін LatePoint для WordPress версій до 5.2.5 включно містить уразливість Cross-Site Request Forgery (CSRF), що дозволяє неавторизованим зловмисникам виконувати адміністративні дії через підроблені запити. Уразливість пов’язана з недостатньою перевіркою nonce у функції call_by_route_name.

Бізнес-вплив

Ця уразливість може призвести до несанкціонованих змін у налаштуваннях плагіна або інших адміністративних дій, якщо адміністратор буде обманутий і виконає шкідливу дію, наприклад, перейде за зловмисним посиланням. Це створює ризик компрометації сайту і порушення його нормальної роботи.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна LatePoint від розробника і негайно застосувати їх. Якщо оновлення недоступні, слід обмежити доступ до адміністративної частини сайту, впровадити додаткові механізми захисту від CSRF, переглянути журнали подій на предмет підозрілої активності та підвищити обізнаність адміністраторів щодо безпечної роботи з посиланнями.

Джерела

• NVD
• Reference
• Reference