CVE-2026-4071
MediumCVSS 4.3Summary
Wtyczka BirdSeed dla WordPressa jest podatna na atak Cross-Site Request Forgery we wszystkich wersjach do łącznie 2.2.0. Problem wynika z braku walidacji nonce w funkcji birdseed_plugin_settings_page(), co pozwala na zmianę ustawienia tokena BirdSeed przez nieautoryzowanych atakujących.
Risk Assessment
Atakujący mogą zmusić administratora strony do wykonania akcji, co może prowadzić do nieautoryzowanej zmiany ustawień wtyczki. To stwarza ryzyko dla integralności danych i bezpieczeństwa całej witryny.
Recommendation
Zaleca się aktualizację wtyczki BirdSeed do najnowszej wersji, która zawiera poprawki bezpieczeństwa. Dodatkowo, warto wdrożyć mechanizmy ochrony przed atakami CSRF, takie jak walidacja nonce.
Original NVD description (English source)
The BirdSeed plugin for WordPress is vulnerable to Cross-Site Request Forgery in all versions up to, and including, 2.2.0. This is due to missing nonce validation in the birdseed_plugin_settings_page() function. The function processes the 'birdseed_token' GET parameter and saves it to the database via update_option() without verifying a nonce. This makes it possible for unauthenticated attackers to change the plugin's BirdSeed token setting via a forged request, granted they can trick a site administrator into performing an action such as clicking a link.