Podatności FuseWP

Wtyczka FuseWP dla WordPressa jest podatna na Cross-Site Request Forgery (CSRF) we wszystkich wersjach do 1.1.24.2 włącznie. Wynika to z braku weryfikacji nonce w funkcji toggle_sync_status(). Umożliwia to nieuwierzytelnionym atakującym przełączanie stanu reguł synchronizacji (włączanie/wyłączanie) poprzez sfałszowane żądanie, pod warunkiem że nakłonią administratora witryny do wykonania akcji, takiej jak kliknięcie linku.

Wtyczka FuseWP dla WordPressa jest podatna na nieautoryzowaną modyfikację danych z powodu braku sprawdzenia uprawnień w funkcji save_changes() w wersjach do 1.1.23.0 włącznie. Nieuwierzytelnieni atakujący mogą dodawać i edytować reguły synchronizacji.

Wtyczka FuseWP – WordPress User Sync to Email List & Marketing Automation jest podatna na atak Cross-Site Request Forgery we wszystkich wersjach do 1.1.23.0 włącznie. Wynika to z braku lub nieprawidłowej walidacji nonce w funkcji save_changes, co pozwala nieuwierzytelnionemu atakującemu dodawać lub edytować reguły synchronizacji po nakłonieniu administratora do kliknięcia linku.