CVE-2025-68567: CSRF in My auctions allegro

La vulnérabilité CSRF dans My auctions allegro permet à un attaquant de manipuler les requêtes HTTP envoyées par un utilisateur authentifié. Un attaquant pourrait, par exemple, modifier des enchères, supprimer des produits ou même modifier les paramètres de configuration du plugin. L'impact est amplifié si l'attaquant peut compromettre un compte administrateur, lui donnant un contrôle total sur le site web. Cette vulnérabilité est particulièrement préoccupante car elle peut être exploitée sans nécessiter d'authentification préalable sur le site cible, rendant l'attaque potentiellement à grande échelle.

WordPress site owners using the My auctions allegro plugin, particularly those running older versions (0.0.0–3.6.33). Shared hosting environments where plugin updates are managed centrally are also at increased risk, as they may not be promptly updated.

• wordpress / composer / npm:

grep -r 'my-auctions-allegro-free-edition' /var/www/html/
wp plugin list | grep 'My auctions allegro'

• generic web:

curl -I https://example.com/my-auctions-allegro/ | grep -i 'csrf-token'

1. 2025-12-24Disclosure

   disclosure

1. Réservé2025-12-19
2. Publiée2025-12-24
3. Modifiée2026-04-28
4. EPSS mis à jour2026-03-23

La solution la plus efficace est de mettre à jour le plugin My auctions allegro vers la version 3.6.34 ou supérieure. Si la mise à jour n'est pas immédiatement possible, il est recommandé de désactiver temporairement le plugin. En attendant, des règles WAF (Web Application Firewall) peuvent être configurées pour bloquer les requêtes suspectes contenant des tokens CSRF invalides. Vérifiez après la mise à jour que le plugin fonctionne correctement et que les fonctionnalités essentielles sont intactes.

Installations actives

500Connu

Note du plugin