CVE-2023-3977
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 39 - wyżej niż 39% wszystkich znanych CVE
Streszczenie
Kilka wtyczek WordPressa autorstwa Inisev jest podatnych na atak Cross-Site Request Forgery, co umożliwia nieautoryzowaną instalację wtyczek z powodu braku weryfikacji nonce w funkcji handle_installation. Atakujący mogą wykorzystać tę lukę, aby zainstalować wtyczki, jeśli uda im się oszukać administratora strony.
Ocena ryzyka
Organizacja może być narażona na nieautoryzowaną instalację złośliwych wtyczek, co może prowadzić do kompromitacji danych i bezpieczeństwa systemu. Wtyczki mogą wprowadzać złośliwy kod, co zagraża integralności i poufności danych.
Rekomendacja
Zaleca się aktualizację wtyczek do najnowszych wersji, które zawierają poprawki zabezpieczeń. Dodatkowo, warto wdrożyć mechanizmy weryfikacji nonce w niestandardowych funkcjach AJAX.
Oryginalny opis (angielski, źródło NVD)
Several plugins for WordPress by Inisev are vulnerable to Cross-Site Request Forgery to unauthorized installation of plugins due to a missing nonce check on the handle_installation function that is called via the inisev_installation AJAX aciton in various versions. This makes it possible for unauthenticated attackers to install plugins from the limited list via a forged request granted they can trick a site administrator into performing an action such as clicking on a link.