CVE-2023-4140: Luka wtyczki WP Ultimate CSV Importer umożliwiająca eskalację uprawnień

Co wiadomo

Wtyczka WP Ultimate CSV Importer dla WordPressa w wersjach do 7.9.8 włącznie posiada lukę pozwalającą na eskalację uprawnień. Atakujący z minimalnymi uprawnieniami, np. autorem, mogą zmienić swoją rolę użytkownika, jeśli administrator wcześniej udzielił dostępu w ustawieniach wtyczki.

Wpływ biznesowy

Luka umożliwia nieuprawnionym użytkownikom podniesienie poziomu uprawnień, co może prowadzić do nieautoryzowanych zmian w serwisie WordPress. Może to skutkować naruszeniem integralności danych, zmianą zawartości lub dalszymi atakami na infrastrukturę. Operatorzy powinni traktować tę lukę jako istotne zagrożenie dla bezpieczeństwa witryny.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki WP Ultimate CSV Importer u dostawcy oraz ich wdrożenie. W międzyczasie warto ograniczyć dostęp do ustawień wtyczki tylko do zaufanych administratorów, przejrzeć logi pod kątem podejrzanych działań oraz rozważyć tymczasowe wyłączenie wtyczki, jeśli to możliwe. Priorytetem jest minimalizacja ryzyka eskalacji uprawnień.

Źródła

• NVD
• Reference
• Reference
• Reference