CVE-2024-0866: Luka wtyczki Check & Log Email dla WordPress umożliwiająca nieautoryzowane wstrzykiwanie hooków

Co wiadomo

Wtyczka Check & Log Email dla WordPress do wersji 1.0.9 włącznie posiada lukę umożliwiającą nieautoryzowanym atakującym wykonywanie akcji poprzez wstrzykiwanie hooków, jeśli znają odpowiedni nonce i brak jest weryfikacji uprawnień. Luka ta wynika z funkcji check_nonce i może być wykorzystana do wykonania nieautoryzowanych działań w systemie.

Wpływ biznesowy

Atakujący bez uwierzytelnienia mogą wykorzystać tę lukę do wykonania działań w WordPress, które normalnie wymagałyby uprawnień, co może prowadzić do eskalacji uprawnień lub manipulacji funkcjonalnością witryny. Może to wpłynąć na integralność i bezpieczeństwo środowiska CMS, zwiększając ryzyko naruszenia danych lub zakłócenia działania serwisu.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Check & Log Email i ich wdrożenie. W przypadku braku łatki należy ograniczyć ekspozycję wtyczki, monitorować logi pod kątem podejrzanych działań oraz priorytetyzować działania naprawcze. Warto również zweryfikować konfigurację uprawnień i mechanizmy weryfikacji nonce w środowisku WordPress.

Źródła

• NVD
• Reference
• Reference