Analityczne wykorzystywanie plików cookies
Luka w ladipage WordPress: nieautoryzowana modyfikacja danych
Luka w wtyczce ladipage WordPress pozwala na nieautoryzowaną zmianę danych i tworzenie złośliwych stron. Sprawdź zalecenia bezpieczeństwa i aktualizacje.
- CVSS
- 4.3 MEDIUM
- EPSS
- 24.3%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- ladipage
Co wiadomo
Wtyczka LadiApp dla WordPress do wersji 4.4 włącznie posiada lukę pozwalającą na nieautoryzowaną modyfikację danych poprzez brak weryfikacji uprawnień w funkcji publish_lp(). Atakujący z poziomem subskrybenta lub wyższym mogą zmieniać klucz LadiPage, co umożliwia tworzenie nowych stron, w tym złośliwych wywołujących XSS.
Wpływ biznesowy
Luka umożliwia atakującym z ograniczonym dostępem w panelu WordPress tworzenie i modyfikowanie stron, co może prowadzić do wstrzyknięcia złośliwego kodu i naruszenia integralności witryny. Może to skutkować utratą zaufania użytkowników, problemami z bezpieczeństwem danych oraz potencjalnymi problemami prawnymi dla właścicieli serwisów.
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki ladipage i ich wdrożenie. W przypadku braku łatki należy ograniczyć dostęp użytkowników do poziomu subskrybenta lub wyższego oraz monitorować logi pod kątem podejrzanych działań. Warto również rozważyć tymczasowe wyłączenie funkcji AJAX związanej z publish_lp() oraz przeprowadzić audyt bezpieczeństwa witryny.