CVE-2023-3999: luka wtyczki Waiting umożliwiająca obejście autoryzacji

Co wiadomo

Wtyczka Waiting: One-click countdowns dla WordPressa do wersji 0.6.2 ma lukę pozwalającą na obejście kontroli uprawnień w wywołaniach AJAX. Użytkownicy z uprawnieniami subskrybenta i wyższymi mogą tworzyć, usuwać odliczania oraz modyfikować ustawienia wtyczki.

Wpływ biznesowy

Ta luka może prowadzić do nieautoryzowanych zmian w konfiguracji wtyczki oraz manipulacji odliczaniami, co może wpłynąć na funkcjonalność i wiarygodność witryny. Atakujący z podstawowymi uprawnieniami mogą eskalować swoje możliwości, co stanowi zagrożenie dla integralności i zarządzania stroną WordPress.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Waiting i ich wdrożenie. W przypadku braku łatki należy ograniczyć dostęp użytkowników do poziomu subskrybenta oraz monitorować logi pod kątem podejrzanych działań związanych z wtyczką. Warto również rozważyć tymczasowe wyłączenie wtyczki do czasu usunięcia luki.

Źródła

• NVD
• Reference
• Reference