CVE-2024-0766: Luka w wtyczce Envo's Elementor Templates & Widgets for WooCommerce umożliwiająca nieautoryzowaną modyfikację danych

Co wiadomo

Wtyczka Envo's Elementor Templates & Widgets for WooCommerce dla WordPressa do wersji 1.4.4 włącznie posiada lukę polegającą na braku sprawdzenia uprawnień w funkcji templates_ajax_request. Pozwala to użytkownikom z rolą subskrybenta lub wyższą na tworzenie szablonów bez odpowiednich uprawnień.

Wpływ biznesowy

Luka ta może prowadzić do nieautoryzowanego tworzenia i modyfikacji szablonów w sklepie WooCommerce, co może wpłynąć na wygląd i funkcjonalność witryny oraz potencjalnie narazić firmę na ryzyko manipulacji treścią. Operatorzy IT powinni zwrócić uwagę na możliwość eskalacji uprawnień i nieautoryzowanych zmian w środowisku produkcyjnym.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki u dostawcy oraz ich wdrożenie. W międzyczasie warto ograniczyć dostęp do panelu administracyjnego tylko do zaufanych użytkowników, monitorować logi pod kątem podejrzanych działań oraz przeprowadzić przegląd uprawnień użytkowników w WordPressie.

Źródła

• NVD
• Reference
• Reference
• Reference