CVE-2023-0551: luka w wtyczce REST API to MiniProgram dla WordPress

Co wiadomo

Wtyczka REST API to MiniProgram dla WordPress w wersji do 4.6.1 nie posiada odpowiednich kontroli autoryzacji i zabezpieczeń CSRF w jednej z akcji AJAX, co pozwala uwierzytelnionym użytkownikom, np. subskrybentom, na usuwanie dowolnych załączników.

Wpływ biznesowy

Brak odpowiednich zabezpieczeń w popularnej wtyczce WordPress może prowadzić do nieautoryzowanego usuwania plików przez użytkowników z ograniczonymi uprawnieniami, co może skutkować utratą danych i zakłóceniem działania serwisu. Operatorzy powinni zwrócić uwagę na potencjalne ryzyko nadużyć i wpływ na integralność treści oraz reputację witryny.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki REST API to MiniProgram i jej instalację. W przypadku braku łatki, ograniczenie dostępu do funkcji AJAX oraz monitorowanie logów pod kątem podejrzanych działań. Warto również przeprowadzić przegląd uprawnień użytkowników i ograniczyć ich do niezbędnego minimum.

Źródła

• NVD
• Reference