Уразливість CSRF у плагіні Disable Admin Notices для WordPress

Що відомо

Плагін Disable Admin Notices – Hide Dashboard Notifications для WordPress має уразливість Cross-Site Request Forgery (CSRF) у версіях до 1.4.2 включно через відсутність перевірки nonce у функції showPageContent(). Це дозволяє неавторизованим зловмисникам додавати довільні URL до списку заблокованих перенаправлень, якщо вони переконають адміністратора сайту виконати певну дію.

Бізнес-вплив

Уразливість може призвести до зміни налаштувань плагіна без відома адміністратора, що впливає на поведінку перенаправлень на сайті. Це може порушити нормальну роботу веб-ресурсу та створити ризики для безпеки, особливо якщо зловмисники використовують цю можливість для подальших атак або обхід захисту.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна Disable Admin Notices і встановити їх, якщо вони доступні. Якщо оновлення відсутні, слід обмежити доступ до адміністративної панелі, переглянути журнали активності на предмет підозрілих дій та підвищити обізнаність адміністраторів щодо ризиків кліків на підозрілі посилання. Також варто розглянути тимчасове відключення плагіна до виправлення уразливості.

Джерела

• NVD
• Reference
• Reference
• Reference
• Reference