CVE-2025-68567: CSRF em My auctions allegro

A exploração bem-sucedida desta vulnerabilidade CSRF pode permitir que um atacante realize ações não autorizadas na aplicação My auctions allegro, como modificar lances, alterar configurações ou até mesmo excluir itens. O impacto pode variar dependendo das permissões do usuário atacado, mas em cenários onde o atacante consegue se passar por um administrador, o dano potencial é significativo. Um atacante pode, por exemplo, criar lances falsos para manipular leilões ou alterar informações de produtos, causando prejuízo aos usuários e à reputação do sistema. A falta de proteção CSRF torna a aplicação suscetível a ataques que podem comprometer a confiança dos usuários e a integridade dos dados.

WordPress site owners using the My auctions allegro plugin, particularly those running older versions (0.0.0–3.6.33). Shared hosting environments where plugin updates are managed centrally are also at increased risk, as they may not be promptly updated.

• wordpress / composer / npm:

grep -r 'my-auctions-allegro-free-edition' /var/www/html/
wp plugin list | grep 'My auctions allegro'

• generic web:

curl -I https://example.com/my-auctions-allegro/ | grep -i 'csrf-token'

1. 2025-12-24Disclosure

   disclosure

1. Reservado2025-12-19
2. Publicada2025-12-24
3. Modificada2026-04-28
4. EPSS atualizado2026-03-23

A mitigação primária para esta vulnerabilidade é atualizar o plugin My auctions allegro para a versão 3.6.34 ou superior, que inclui a correção. Se a atualização imediata não for possível, considere implementar medidas de proteção CSRF adicionais, como a validação de tokens CSRF em todas as requisições que modificam o estado da aplicação. Implementar uma política de segurança de conteúdo (CSP) também pode ajudar a mitigar o risco, restringindo as fontes de scripts que podem ser executados na página. Monitore os logs do servidor em busca de padrões suspeitos de requisições, como requisições originadas de domínios desconhecidos.

Instalações ativas

500Conhecido

Avaliação do plugin