Analytical use of cookies
Уразливість CSRF у плагіні Remove NoFollow Commenter URL для WordPress
Плагін Remove NoFollow Commenter URL для WordPress вразливий до CSRF, що дозволяє змінювати налаштування коментарів через підроблені запити.
- CVSS
- 4.3 MEDIUM
- EPSS
- 3.06%
- Активно використовується
- немає в KEV
- Продукт
- -
Що відомо
Плагін Remove NoFollow Commenter URL для WordPress має уразливість Cross-Site Request Forgery (CSRF) у версіях до 1.0 включно через відсутність або неправильну перевірку nonce у функції gmz_comment_settings_save. Це дозволяє неавторизованим зловмисникам змінювати налаштування відображення коментарів, якщо вони переконають адміністратора сайту виконати шкідливу дію, наприклад, перейти за посиланням.
Бізнес-вплив
Уразливість може призвести до несанкціонованих змін у налаштуваннях плагіна, що впливає на відображення коментарів на сайті. Це може порушити роботу вебресурсу або створити умови для подальших атак. Адміністратори повинні враховувати ризик соціальної інженерії, оскільки атака вимагає взаємодії з адміністратором.
Рекомендовані дії адміністратора
Рекомендується перевірити наявність оновлень плагіна від розробника та встановити їх у разі доступності. Якщо оновлення відсутні, слід обмежити доступ до адміністративної панелі, впровадити додаткові заходи захисту від CSRF, переглянути журнали активності на предмет підозрілих дій та підвищити обізнаність адміністраторів щодо ризиків соціальної інженерії.