Inisev Plugins (Various Versions) - Cross-Site Request Forgery on handle_installation function

Затронутые версии

Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.

• backupbliss backup migrationдо 1.2.8
• backupbliss cloneдо 2.3.8
• copy-delete-posts duplicate postдо 1.4.0
• inisev enhanced text widgetдо 1.5.8
• inisev redirectionдо 1.1.4
• inisev rss redirect & feedburner alternativeдо 3.8
• inisev ssl mixed content fixдо 3.2.4
• inisev ultimate posts widgetдо 2.2.5
• mypopups pop-upдо 1.2.0
• ultimatelysocial social media share buttons & social sharing iconsдо 3.5.8

Версии, заявленные вендором

Диапазоны затронутых версий, заявленные назначающей организацией (Wordfence). Не зависят от анализа CPE в NVD и обычно опережают его.

• cl272 Enhanced Text Widget

  • до 1.5.7 включительнозатронута · semver

• cl272 Ultimate Posts Widget

  • до 2.2.4 включительнозатронута · semver

• inisev BackupBliss – Backup & Migration with Free Cloud Storage

  • до 1.2.7 включительнозатронута · semver

• inisev Duplicate Post

  • до 1.3.9 включительнозатронута · semver

• inisev Pop-up

  • до 1.1.9 включительнозатронута · semver

• inisev Redirection

  • до 1.1.3 включительнозатронута · semver

• inisev Social Media Share Buttons & Social Sharing Icons

  • до 2.8.1 включительнозатронута · semver

• inisev Social Share Icons & Social Share Buttons

  • до 3.5.7 включительнозатронута · semver

• migrate Clone

  • до 2.3.7 включительнозатронута · semver

• s-feeds RSS Redirect & Feedburner Alternative

  • до 3.7 включительнозатронута · semver

• steve85b SSL Mixed Content Fix

  • до 3.2.3 включительнозатронута · semver

Другие записи с наивысшей оценкой для того же основного продукта.

• CVE-2024-0559Enhanced Text Widget < 1.6.6 - Admin+ Stored XSS
  26Наблюдать
• CVE-2023-0958Inisev Plugins (Various Versions) - Missing Authorization on handle_installation function
  26Наблюдать

Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).

Первопричина

Запросы, изменяющие состояние, опираются на сессионный cookie, который браузер отправляет автоматически; то, что запрос пришёл со страницы самого пользователя, не проверяется.

Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.

1app.use(session({ cookie: { httpOnly: true } }));2app.post("/account/address", updateAddress);

1app.use(session({ cookie: { httpOnly: true, sameSite: "lax" } }));2app.post("/account/address", csrfProtection, updateAddress);

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.