Analityczne wykorzystywanie plików cookies
CVE-2023-6700: Luka w wtyczce wp-gdpr-compliance umożliwiająca modyfikację opcji
Wtyczka wp-gdpr-compliance do WordPress ma lukę pozwalającą na zmianę opcji strony przez użytkowników z poziomem subskrybenta. Zalecane szybkie aktualizacje i monitoring.
- CVSS
- 8.8 HIGH
- EPSS
- 71.05%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- wp-gdpr-compliance
Co wiadomo
Wtyczka Cookie Information | Free GDPR Consent Solution dla WordPress w wersjach do 2.0.22 włącznie posiada lukę pozwalającą na nieautoryzowaną modyfikację opcji strony przez atakujących z poziomem subskrybenta lub wyższym. Luka wynika z braku odpowiedniej weryfikacji uprawnień w obsłudze żądań AJAX.
Wpływ biznesowy
Atakujący z dostępem na poziomie subskrybenta mogą zmieniać dowolne opcje witryny, co może prowadzić do utworzenia kont administratora i przejęcia pełnej kontroli nad stroną. To poważne zagrożenie dla bezpieczeństwa i integralności serwisu opartego na WordPress, wymagające szybkiej reakcji ze strony administratorów.
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki wp-gdpr-compliance i ich wdrożenie. W przypadku braku łatki należy ograniczyć dostęp użytkowników do poziomu subskrybenta lub wyższego oraz monitorować logi pod kątem podejrzanych działań. Warto również przeprowadzić audyt uprawnień i rozważyć tymczasowe wyłączenie wtyczki, jeśli to możliwe.