Analytical use of cookies
Уразливість CSRF у плагіні Newsletter Email Subscribe для WordPress
Плагін Newsletter Email Subscribe для WordPress має уразливість CSRF, що дозволяє змінювати налаштування через підроблені запити. Рекомендується оновлення та додатковий захист.
- CVSS
- 4.3 MEDIUM
- EPSS
- 1.12%
- Активно використовується
- немає в KEV
- Продукт
- -
Що відомо
Плагін Newsletter Email Subscribe для WordPress версій до 2.4 включно містить уразливість Cross-Site Request Forgery (CSRF) через неправильну перевірку nonce у функції nels_settings_page. Це дозволяє неавторизованим зловмисникам змінювати налаштування плагіна, якщо вони переконають адміністратора сайту виконати певну дію, наприклад, клікнути на посилання.
Бізнес-вплив
Уразливість може призвести до несанкціонованих змін у налаштуваннях плагіна, що потенційно впливає на функціональність розсилок і безпеку сайту. Для операторів ІТ та власників інфраструктури це означає ризик компрометації адміністративних налаштувань без прямого доступу до облікового запису адміністратора.
Рекомендовані дії адміністратора
Рекомендується перевірити наявність оновлень плагіна від розробника та застосувати їх при першій можливості. Якщо оновлення недоступні, слід обмежити доступ до адміністративної панелі, впровадити додаткові заходи захисту від CSRF, переглянути журнали безпеки на предмет підозрілої активності та підвищити обізнаність адміністраторів щодо ризиків кліків на підозрілі посилання.