Analityczne wykorzystywanie plików cookies
CVE-2023-5419: luka w wtyczce funnelforms dla WordPress
Luka w wtyczce funnelforms WordPress pozwala na nieautoryzowane wysyłanie testowych e-maili. Sprawdź zalecenia bezpieczeństwa i aktualizacje.
- CVSS
- 4.3 MEDIUM
- EPSS
- 32.14%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- funnelforms
Co wiadomo
Wtyczka Funnelforms Free dla WordPress do wersji 3.4 włącznie posiada lukę umożliwiającą nieautoryzowaną modyfikację danych poprzez brak sprawdzenia uprawnień w funkcji fnsf_af2_test_mail. Pozwala to uwierzytelnionym użytkownikom z uprawnieniami subskrybenta lub wyższymi na wysyłanie testowych wiadomości e-mail na dowolny adres.
Wpływ biznesowy
Luka może zostać wykorzystana do wysyłania nieautoryzowanych wiadomości e-mail, co może prowadzić do nadużyć, takich jak phishing lub spam, obniżając reputację firmy i zwiększając ryzyko naruszenia danych. Administratorzy powinni zwrócić uwagę na potencjalne nadużycia funkcji testowej wtyczki i monitorować nietypową aktywność e-mailową.
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki funnelforms i ich wdrożenie. W przypadku braku łatki należy ograniczyć dostęp do funkcji testowej do zaufanych użytkowników, przeglądać logi wysyłki e-mail oraz rozważyć tymczasowe wyłączenie funkcji testowej. Warto również przeprowadzić audyt uprawnień użytkowników WordPress.