CVE-2023-3411
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 12 - wyżej niż 12% wszystkich znanych CVE
Streszczenie
Wtyczka Image Map Pro – Drag-and-drop Builder for Interactive Images – Lite dla WordPress jest podatna na atak Cross-Site Request Forgery w wersjach do 1.0.0 włącznie. Brak walidacji nonce w funkcji ajax_store_save() umożliwia nieautoryzowanym atakującym modyfikację ustawień wtyczki oraz wstrzykiwanie złośliwych skryptów webowych poprzez sfałszowane żądanie.
Ocena ryzyka
Atakujący mogą zmusić administratora strony do wykonania niezamierzonej akcji, co może prowadzić do kompromitacji ustawień wtyczki i wprowadzenia złośliwego kodu na stronę.
Rekomendacja
Zaleca się aktualizację wtyczki do najnowszej wersji, która zawiera poprawki zabezpieczeń, oraz wdrożenie dodatkowych środków ochrony przed atakami CSRF.
Oryginalny opis (angielski, źródło NVD)
The Image Map Pro – Drag-and-drop Builder for Interactive Images – Lite plugin for WordPress is vulnerable to Cross-Site Request Forgery in versions up to, and including, 1.0.0. This is due to missing nonce validation on the ajax_store_save() function. This makes it possible for unauthenticated attackers to modify plugin settings and inject malicious web scripts via a forged request granted they can trick a site administrator into performing an action such as clicking on a link.