Вразливість CSRF у плагіні Whatsiplus Scheduled Notification для WooCommerce

Що відомо

Плагін Whatsiplus Scheduled Notification для WooCommerce у WordPress має вразливість Cross-Site Request Forgery (CSRF) у версіях до 1.0.1 включно через відсутність перевірки nonce в AJAX-дії 'wsnfw_save_users_settings'. Це дозволяє неавторизованим зловмисникам змінювати налаштування плагіна, якщо вони переконають адміністратора сайту виконати шкідливу дію.

Бізнес-вплив

Вразливість може призвести до несанкціонованих змін конфігурації плагіна, що потенційно впливає на функціональність сайту та безпеку. Для власників інфраструктури це означає ризик компрометації адміністративних налаштувань без прямого доступу до облікового запису. Своєчасне виявлення та усунення цієї проблеми є важливим для підтримки безпеки вебресурсу.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна від розробника та застосувати їх, якщо вони доступні. Якщо оновлення відсутні, слід обмежити доступ до адміністративної панелі, впровадити додаткові заходи автентифікації та регулярно переглядати журнали активності для виявлення підозрілих дій. Також варто інформувати адміністраторів про ризики кліків на підозрілі посилання.

Джерела

• NVD
• Reference
• Reference
• Reference