CVE-2022-50955
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 3 - wyżej niż 3% wszystkich znanych CVE
Streszczenie
Wtyczka Curtain 1.0.2 do WordPressa zawiera podatność na fałszowanie żądań międzywitrynowych (CSRF), umożliwiającą atakującym włączanie lub wyłączanie trybu konserwacji witryny poprzez spreparowane żądania. Atakujący mogą nakłonić uwierzytelnionego administratora do wysłania sfałszowanego żądania do strony options-general.php z parametrami curtain, bez ważnej walidacji nonce.
Ocena ryzyka
Atakujący może nieautoryzowanie przełączyć witrynę w tryb konserwacji lub go wyłączyć, co może zakłócić działanie strony lub narazić ją na ataki.
Rekomendacja
Zaktualizuj wtyczkę Curtain do najnowszej wersji lub usuń ją, jeśli nie jest niezbędna. Wdróż mechanizmy CSRF (np. nonce) we wszystkich formularzach.
Oryginalny opis (angielski, źródło NVD)
WordPress Plugin Curtain 1.0.2 contains a cross-site request forgery vulnerability that allows attackers to activate or deactivate site maintenance mode by crafting malicious requests. Attackers can trick authenticated administrators into submitting forged requests to the options-general.php page with curtain parameters to toggle maintenance mode without valid nonce validation.