Plugin WordPress Recent Posts From Each Category <= 1.4 - Vulnérabilité Cross Site Request Forgery (CSRF)

L'exploitation réussie de cette vulnérabilité CSRF peut permettre à un attaquant d'injecter du code JavaScript malveillant dans le plugin Recent Posts From Each Category. Ce code malveillant peut ensuite être exécuté dans le contexte du navigateur de l'utilisateur, permettant à l'attaquant de voler des cookies de session, de modifier le contenu du site web, ou de rediriger l'utilisateur vers un site malveillant. La XSS stockée amplifie l'impact, car le code malveillant persiste et peut affecter plusieurs utilisateurs sans intervention continue de l'attaquant. Le risque est accru si le plugin est utilisé sur des sites web avec des données sensibles ou des comptes privilégiés.

Websites using the Recent Posts From Each Category plugin, particularly those with user accounts and sensitive data, are at risk. Shared hosting environments where multiple websites share the same server resources are also at increased risk, as a compromise of one site could potentially lead to the compromise of others.

• wordpress / composer / npm:

grep -r 'recent-posts-from-each-category' /var/www/html/wp-content/plugins/

• generic web:

curl -I https://example.com/wp-content/plugins/recent-posts-from-each-category/ | grep -i 'content-security-policy'

• wordpress / composer / npm:

wp plugin list --status=inactive | grep recent-posts-from-each-category

1. 2025-12-31Disclosure

   disclosure

1. Réservé2025-06-04
2. Publiée2025-12-31
3. Modifiée2026-04-28
4. EPSS mis à jour2026-03-23

La principale mesure d'atténuation consiste à mettre à jour le plugin « Recent Posts From Each Category » vers la dernière version disponible, qui corrige cette vulnérabilité. Si la mise à jour n'est pas immédiatement possible, des mesures temporaires peuvent être prises. Il est recommandé d'implémenter des protections CSRF au niveau de l'application, telles que la validation des tokens CSRF sur les formulaires et les requêtes sensibles. Envisagez également de configurer un Web Application Firewall (WAF) pour bloquer les requêtes CSRF malveillantes. Vérifiez après la mise à jour que le plugin fonctionne correctement et qu'aucune fonctionnalité n'est compromise.

Installations actives

50

Note du plugin