CSRF

Warum es für WordPress wichtig ist

Wenn ein Administrator angemeldet ist und eine bösartige Seite besucht, kann diese Seite versuchen, Formulare an wp-admin als dieser Admin zu schicken. Der WordPress-Core nutzt Nonces, um das meiste davon zu stoppen. Eigene Plugins, die Nonce- und Rechteprüfungen auslassen, bleiben riskant.

So zeigt es sich in der Praxis

• Eine Einstellung oder Plugin-Installation, an die sich der Admin nicht erinnert
• CVE-Texte, die fehlende Nonce-Prüfungen an einem AJAX- oder admin-post-Handler nennen
• Kombinierte Angriffe: XSS plus CSRF, um die Wirkung von einem niedrigeren Fußhalt zu steigern

Was Sie tun sollten

1. Halten Sie WordPress und Plugins aktuell (Nonce-Fehler werden gepatcht).
2. Prüfen Sie bei eigenen Admin-Aktionen Nonces und echte Rechte.
3. Melden Sie sich aus dem Admin ab, wenn Sie unbekannte Websites besuchen, oder nutzen Sie ein separates Browserprofil.
4. Bevorzugen Sie POST für zustandsändernde Aktionen. Unauffällige URLs sind kein Schutz.