CVE-2024-0385: luka w wtyczce Categorify dla WordPress umożliwiająca nieautoryzowaną modyfikację danych

Co wiadomo

Wtyczka Categorify dla WordPress do wersji 1.0.7.4 zawiera lukę polegającą na braku weryfikacji uprawnień w funkcji categorifyAjaxAddCategory. Pozwala to uwierzytelnionym użytkownikom z poziomem subskrybenta lub wyższym na dodawanie kategorii bez odpowiednich uprawnień.

Wpływ biznesowy

Luka może prowadzić do nieautoryzowanego dodawania kategorii w serwisach opartych na WordPress z zainstalowaną wtyczką Categorify. Może to wpłynąć na integralność i porządek danych, co utrudnia zarządzanie treścią i może obniżyć jakość doświadczenia użytkownika. Zagrożenie jest klasyfikowane jako średnie, ale wymaga uwagi w środowiskach z wieloma użytkownikami o różnym poziomie dostępu.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Categorify u dostawcy oraz ich wdrożenie. W międzyczasie warto ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem nieautoryzowanych zmian kategorii oraz przeprowadzić audyt uprawnień użytkowników w systemie WordPress.

Źródła

• NVD
• Reference
• Reference