CVE-2024-0791: luka w wtyczce WOLF do masowej edycji postów i zarządzania produktami w WordPress

Co wiadomo

Wtyczka WOLF – WordPress Posts Bulk Editor and Manager Professional do wersji 1.0.8.1 posiada lukę umożliwiającą nieautoryzowany dostęp i modyfikację danych. Brak weryfikacji uprawnień w funkcjach zarządzających terminami taksonomii pozwala użytkownikom z dostępem subskrybenta lub wyższym na tworzenie, usuwanie i edycję terminów taksonomii.

Wpływ biznesowy

Luka może prowadzić do nieautoryzowanych zmian w strukturze taksonomii witryny, co może wpłynąć na integralność i organizację treści oraz produktów. Atakujący z podstawowymi uprawnieniami mogą manipulować danymi, co może skutkować zakłóceniem działania serwisu lub utratą zaufania użytkowników. W środowiskach e-commerce lub rozbudowanych blogach taka ingerencja może mieć negatywne skutki biznesowe.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki u dostawcy oraz ich wdrożenie. W przypadku braku łatki należy ograniczyć dostęp użytkowników do minimum niezbędnego oraz monitorować logi pod kątem podejrzanych działań związanych z taksonomią. Warto również przeprowadzić przegląd uprawnień użytkowników i wprowadzić polityki ograniczające możliwość modyfikacji taksonomii.

Źródła

• NVD
• Reference
• Reference
• Reference