Analityczne wykorzystywanie plików cookies
CVE-2024-0452: luka w wtyczce wpbot dla WordPress umożliwiająca nieautoryzowaną modyfikację danych
Luka w wtyczce wpbot dla WordPress umożliwia przesyłanie plików przez użytkowników z poziomem subskrybenta. Sprawdź zalecenia bezpieczeństwa.
- CVSS
- 5.0 MEDIUM
- EPSS
- 28.95%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- wpbot
Co wiadomo
Wtyczka AI ChatBot (wpbot) dla WordPress do wersji 5.3.4 ma lukę polegającą na braku sprawdzenia uprawnień w funkcji openai_file_upload_callback. Pozwala to uwierzytelnionym użytkownikom z poziomem subskrybenta i wyższym na przesyłanie plików do powiązanego konta OpenAI.
Wpływ biznesowy
Luka ta może prowadzić do nieautoryzowanego przesyłania plików przez użytkowników z ograniczonymi uprawnieniami, co stwarza ryzyko naruszenia integralności danych i potencjalnego wykorzystania konta OpenAI do niepożądanych działań. Operatorzy stron WordPress powinni zwrócić uwagę na tę podatność, szczególnie jeśli korzystają z wtyczki wpbot i integrują ją z kontem OpenAI.
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki wpbot u dostawcy quantumcloud oraz ich wdrożenie. W międzyczasie warto ograniczyć dostęp do funkcji przesyłania plików tylko do zaufanych użytkowników, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć czasowe wyłączenie integracji z OpenAI, jeśli to możliwe.