Luka wtyczki EventON dla WordPress umożliwia nieautoryzowaną zmianę ustawień wydarzeń

Co wiadomo

Wtyczka EventON dla WordPress w wersjach do 4.5.8 oraz przed 2.2.7 posiada lukę bezpieczeństwa, która pozwala nieautoryzowanym użytkownikom na modyfikację ustawień wirtualnych wydarzeń, takich jak adres URL spotkania, moderator czy szczegóły dostępu. Luka wynika z braku odpowiedniej autoryzacji w niektórych akcjach AJAX.

Wpływ biznesowy

Ta luka może prowadzić do nieautoryzowanych zmian w konfiguracji wydarzeń online, co może zakłócić organizację spotkań i narazić uczestników na ryzyko phishingu lub innych ataków socjotechnicznych. Operatorzy stron wykorzystujących tę wtyczkę powinni zweryfikować swoje instalacje i ograniczyć ryzyko potencjalnych incydentów związanych z nieuprawnionym dostępem.

Rekomendowane działania administratora

Zaleca się jak najszybsze zaktualizowanie wtyczki EventON do najnowszej dostępnej wersji, w której luka została załatana. W przypadku braku możliwości aktualizacji należy ograniczyć dostęp do funkcji AJAX oraz monitorować logi serwera pod kątem podejrzanych działań. Warto również przeprowadzić przegląd uprawnień użytkowników i wprowadzić dodatkowe mechanizmy kontroli dostępu.

Źródła

• NVD
• Reference