Уразливість обходу авторизації в плагіні TypeSquare Webfonts для WordPress

Що відомо

Плагін TypeSquare Webfonts для WordPress версій до 2.0.4 включно має уразливість обходу авторизації, що дозволяє користувачам з рівнем доступу підписника змінювати глобальні налаштування шрифтів сайту через POST-запити до адмінпанелі. Для деяких параметрів відсутня перевірка nonce, що відкриває можливість атак типу CSRF.

Бізнес-вплив

Ця уразливість може призвести до несанкціонованих змін у налаштуваннях шрифтів сайту, що впливає на зовнішній вигляд і може бути використано для фішингових атак або зниження довіри користувачів. Власники сайтів на WordPress, які використовують цей плагін, ризикують компрометацією налаштувань без необхідності повного контролю над сайтом.

Рекомендовані дії адміністратора

Адміністраторам рекомендується перевірити наявність оновлень плагіна TypeSquare Webfonts і встановити їх, якщо вони доступні. Якщо оновлення неможливе, слід обмежити доступ користувачів до рівня підписника та вище, ретельно контролювати журнали доступу, а також розглянути впровадження додаткових заходів захисту від CSRF. Рекомендується також провести аудит безпеки плагінів і налаштувань WordPress.

Джерела

• NVD
• Reference
• Reference
• Reference
• Reference