Уразливість CSRF у плагіні Two-factor authentication для WordPress (CVE-2026-8903)

Що відомо

Плагін Two-factor authentication для WordPress має уразливість Cross-Site Request Forgery (CSRF) у версіях до 2.1 включно через відсутність або неправильну перевірку nonce у функції ipv_save_changes. Це дозволяє неавторизованим зловмисникам змінювати налаштування плагіна, включно з режимом роботи та правилами аутентифікації.

Бізнес-вплив

Уразливість може призвести до повного вимкнення двофакторної аутентифікації та брандмауера плагіна, що значно знижує рівень безпеки сайту. Це підвищує ризик несанкціонованого доступу до адміністративної панелі WordPress, особливо якщо адміністратор виконає шкідливу дію за підробленим запитом.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна від розробника та застосувати їх. Якщо оновлення недоступні, слід обмежити доступ до адміністративної панелі, переглянути журнали безпеки на предмет підозрілої активності та інформувати адміністраторів про ризик кліків на підозрілі посилання. Важливо також впровадити додаткові заходи захисту від CSRF.

Джерела

• NVD
• Reference
• Reference
• Reference
• Reference