CVE-2023-6532

O plugin WordPress WP Blogs' Planetarium até a 1.0 não realiza verificação de CSRF quando suas configurações são atualizadas. Isso permite a um atacante forjar uma requisição de alteração de configurações: se um administrador logado for atraído a uma página maliciosa enquanto autenticado no WordPress, seu navegador submete silenciosamente a alteração sob a identidade do administrador. O impacto se limita às próprias configurações do plugin, entregue por meio da vítima e não por um golpe direto no servidor.

As realidades atenuantes são duas. Primeiro, a exploração exige o passo de engenharia social de fazer um administrador acionar a requisição, razão pela qual isso se apoia em interação do usuário em vez de ser dispare-e-esqueça. Segundo, o escopo são as configurações do plugin, não o controle arbitrário do site — então, embora uma mudança de configuração forjada seja um problema real de integridade, é mais estreito do que os bugs de plugin deste lote que rendem execução de código.

Plugins do WordPress são notoriamente difíceis de inventariar — instalados por site, muitas vezes em sites que ninguém rastreia de forma centralizada — então nosso primeiro movimento é simplesmente encontrar onde este roda, dada sua presença minúscula. Mantemos isso em prioridade modesta, atrás das falhas de plugin não autenticadas e de upload de arquivos, nos apoiamos em detecção baseada em referrer de alterações de estado forjadas em torno do wp-admin, e notamos que seu impacto limitado, restrito a configurações, o mantém fora da lista urgente.