CVE-2024-0324: luka w wtyczce Profile Builder umożliwiająca nieautoryzowaną modyfikację ustawień 2FA

Co wiadomo

Wtyczka WordPress Profile Builder do wersji 3.10.8 ma lukę pozwalającą nieautoryzowanym atakującym na zmianę ustawień dwuskładnikowego uwierzytelniania (2FA) dla dowolnych ról użytkowników. Brak sprawdzenia uprawnień w funkcji aktualizacji ustawień 2FA umożliwia włączenie lub wyłączenie tej funkcji bez autoryzacji.

Wpływ biznesowy

Atakujący mogą manipulować zabezpieczeniami kont użytkowników poprzez włączanie lub wyłączanie 2FA, co zwiększa ryzyko nieautoryzowanego dostępu do systemu. W środowiskach korzystających z tej wtyczki, zwłaszcza w wersjach do 3.10.8, istnieje wysokie ryzyko naruszenia bezpieczeństwa danych i kontroli dostępu.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Profile Builder u dostawcy oraz ich wdrożenie. W międzyczasie warto ograniczyć ekspozycję wtyczki, monitorować logi pod kątem podejrzanych zmian ustawień 2FA oraz weryfikować role użytkowników pod kątem nieautoryzowanych modyfikacji. Priorytetowo traktuj aktualizacje i audyt konfiguracji zabezpieczeń.

Źródła

• NVD
• Reference
• Reference
• Reference