Уразливість CSRF у плагіні Purchase Button For Affiliate Link для WordPress

Що відомо

Плагін Purchase Button For Affiliate Link для WordPress має уразливість Cross-Site Request Forgery (CSRF) у версіях до 1.0.2 включно через відсутність перевірки nonce на сторінці налаштувань. Це дозволяє неавторизованим зловмисникам змінювати налаштування плагіна, якщо вони переконають адміністратора сайту виконати певну дію, наприклад, клікнути на посилання.

Бізнес-вплив

Уразливість може призвести до несанкціонованих змін у налаштуваннях плагіна, що потенційно впливає на функціональність сайту та довіру користувачів. Для власників інфраструктури це означає ризик компрометації адміністративних налаштувань без прямого доступу до облікового запису адміністратора.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна від розробника та застосувати їх, якщо доступні. Якщо оновлення відсутні, слід обмежити доступ до сторінки налаштувань плагіна, впровадити додаткові заходи захисту від CSRF, переглянути журнали безпеки на предмет підозрілої активності та підвищити обізнаність адміністраторів щодо ризиків кліків на підозрілі посилання.

Джерела

• NVD
• Reference
• Reference
• Reference