CVE-2023-3720
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 17 - wyżej niż 17% wszystkich znanych CVE
Streszczenie
Wtyczka Upload Media By URL dla WordPressa przed wersją 1.0.8 nie posiada weryfikacji CSRF podczas przesyłania plików. To może umożliwić atakującym zmuszenie zalogowanych administratorów do przesyłania plików, w tym HTML zawierającego kod JS, w ich imieniu.
Ocena ryzyka
Brak weryfikacji CSRF stwarza ryzyko, że atakujący mogą wykorzystać uprawnienia administratorów do przesyłania złośliwych plików, co może prowadzić do poważnych naruszeń bezpieczeństwa.
Rekomendacja
Zaleca się aktualizację wtyczki do wersji 1.0.8 lub nowszej, aby zabezpieczyć się przed tym zagrożeniem.
Oryginalny opis (angielski, źródło NVD)
The Upload Media By URL WordPress plugin before 1.0.8 does not have CSRF check when uploading files, which could allow attackers to make logged in admins upload files (including HTML containing JS code for users with the unfiltered_html capability) on their behalf.