Analityczne wykorzystywanie plików cookies
CVE-2023-6883: Luka wtyczki Easy Social Feed umożliwiająca nieautoryzowaną modyfikację danych
Luka w Easy Social Feed WordPress pozwala na nieautoryzowaną modyfikację tokenów Facebook i Instagram przez użytkowników z poziomem subskrybenta i wyżej.
- CVSS
- 4.3 MEDIUM
- EPSS
- 24.72%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- easy social feed
Co wiadomo
Wtyczka Easy Social Feed dla WordPressa do wersji 6.5.2 włącznie posiada lukę pozwalającą na nieautoryzowaną modyfikację danych przez brak odpowiedniej weryfikacji uprawnień w wielu funkcjach AJAX. Atakujący z poziomem subskrybenta lub wyższym mogą zmieniać tokeny dostępu do Facebooka i Instagrama oraz aktualizować identyfikatory grup.
Wpływ biznesowy
Luka umożliwia osobom z ograniczonym dostępem do panelu WordPressa przeprowadzenie działań, które normalnie wymagają wyższych uprawnień, co może prowadzić do przejęcia kontroli nad integracjami social media i potencjalnego nadużycia kont. Może to wpłynąć na reputację firmy oraz bezpieczeństwo danych powiązanych z mediami społecznościowymi.
Rekomendowane działania administratora
Zaleca się jak najszybsze zaktualizowanie wtyczki Easy Social Feed do wersji nienarażonej na tę lukę, jeśli jest dostępna. W przypadku braku aktualizacji należy ograniczyć dostęp użytkownikom do poziomu subskrybenta lub wyższego oraz monitorować logi pod kątem nieautoryzowanych zmian tokenów i identyfikatorów grup. Warto również rozważyć czasowe wyłączenie wtyczki do czasu wdrożenia poprawki.