CVE-2023-6985: Luka w wtyczce 10Web AI Assistant umożliwiająca nieautoryzowaną modyfikację danych

Co wiadomo

Wtyczka 10Web AI Assistant dla WordPress do wersji 1.0.18 posiada lukę pozwalającą użytkownikom z uprawnieniami subskrybenta i wyższymi na instalację dowolnych wtyczek bez odpowiedniej weryfikacji uprawnień. Może to prowadzić do eskalacji uprawnień i dalszego przejęcia kontroli nad serwisem.

Wpływ biznesowy

Ta luka stwarza ryzyko dla właścicieli stron opartych na WordPress, ponieważ atakujący mogą instalować złośliwe wtyczki, co może skutkować naruszeniem integralności i bezpieczeństwa witryny. Może to prowadzić do utraty danych, przerw w działaniu serwisu oraz uszkodzenia reputacji firmy.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki 10Web AI Assistant i jej instalację. W międzyczasie warto ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi systemowe pod kątem podejrzanych działań oraz rozważyć tymczasowe wyłączenie funkcji instalacji wtyczek przez użytkowników o niskich uprawnieniach.

Źródła

• NVD
• Reference
• Reference