CVE-2023-4000
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 8 - wyżej niż 8% wszystkich znanych CVE
Streszczenie
Wtyczka Waiting: One-click countdowns dla WordPressa jest podatna na atak Cross-Site Request Forgery w wersjach do 0.6.2 włącznie. Problem wynika z braku lub nieprawidłowej walidacji nonce w akcjach AJAX, co umożliwia nieautoryzowanym atakującym tworzenie i usuwanie odliczeń.
Ocena ryzyka
Atakujący mogą wykorzystać tę podatność do manipulacji odliczeniami, co może prowadzić do utraty zaufania użytkowników oraz potencjalnych strat finansowych dla organizacji.
Rekomendacja
Zaleca się aktualizację wtyczki do najnowszej wersji, aby usunąć tę podatność oraz wdrożenie dodatkowych środków zabezpieczających, takich jak poprawna walidacja nonce.
Oryginalny opis (angielski, źródło NVD)
The Waiting: One-click countdowns plugin for WordPress is vulnerable to Cross-Site Request Forgery in versions up to, and including, 0.6.2. This is due to missing or incorrect nonce validation on its AJAX actions. This makes it possible for unauthenticated attackers to create and delete countdowns, via forged request granted they can trick a site administrator into performing an action such as clicking on a link.