CVE-2022-4972: luka w wtyczce Download Monitor dla WordPress umożliwiająca obejście autoryzacji

Co wiadomo

Wtyczka Download Monitor dla WordPress w wersjach do 4.7.51 włącznie posiada lukę pozwalającą na obejście kontroli uprawnień w kilku trasach REST-API związanych z raportowaniem. Umożliwia to nieautoryzowanym atakującym dostęp do danych użytkowników oraz innych informacji przeznaczonych dla administratorów.

Wpływ biznesowy

Luka ta może prowadzić do wycieku wrażliwych danych użytkowników i informacji administracyjnych, co zagraża prywatności i bezpieczeństwu witryny. Operatorzy IT powinni traktować tę podatność jako wysokiego ryzyka, zwłaszcza w środowiskach, gdzie wtyczka jest aktywnie używana do zarządzania plikami do pobrania.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Download Monitor u dostawcy oraz ich wdrożenie. W międzyczasie warto ograniczyć dostęp do REST-API oraz monitorować logi pod kątem podejrzanych żądań. Priorytetowo należy ocenić ekspozycję serwisu i wprowadzić dodatkowe zabezpieczenia kontroli dostępu.

Źródła

• NVD
• Reference
• Reference