Analityczne wykorzystywanie plików cookies
CVE-2023-5417: Luka wtyczki Funnelforms umożliwiająca nieautoryzowaną modyfikację danych
Luka w Funnelforms Free do WordPressa pozwala użytkownikom z uprawnieniami subskrybenta na nieautoryzowaną modyfikację kategorii wpisów.
- CVSS
- 4.3 MEDIUM
- EPSS
- 32.14%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- funnelforms
Co wiadomo
Wtyczka Funnelforms Free dla WordPressa do wersji 3.4 włącznie posiada lukę polegającą na braku weryfikacji uprawnień w funkcji fnsf_update_category. Pozwala to uwierzytelnionym użytkownikom z uprawnieniami subskrybenta lub wyższymi na modyfikację kategorii Funnelforms dla określonego wpisu.
Wpływ biznesowy
Luka może prowadzić do nieautoryzowanych zmian w danych kategorii Funnelforms, co może wpłynąć na integralność i wiarygodność treści publikowanych na stronie. Atakujący z niskim poziomem uprawnień mogą manipulować kategoriami wpisów, co może skutkować problemami z zarządzaniem treścią i potencjalnym naruszeniem polityk bezpieczeństwa.
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Funnelforms i ich wdrożenie. W przypadku braku łatki warto ograniczyć dostęp użytkowników do poziomu subskrybenta oraz monitorować logi pod kątem podejrzanych zmian kategorii. Priorytetowo należy ocenić ryzyko i wprowadzić dodatkowe kontrole dostępu tam, gdzie to możliwe.