CVE-2024-10092: Luka w wtyczce Download Monitor dla WordPress umożliwia nieautoryzowaną modyfikację danych

Co wiadomo

Wtyczka Download Monitor dla WordPress do wersji 5.0.12 włącznie posiada lukę, która pozwala użytkownikom z uprawnieniami subskrybenta i wyższymi na nieautoryzowane cofanie i generowanie kluczy API. Problem wynika z braku odpowiedniej weryfikacji uprawnień w funkcji ajax_handle_api_key_actions.

Wpływ biznesowy

Atakujący z dostępem na poziomie subskrybenta mogą manipulować kluczami API, co może prowadzić do zakłóceń w działaniu usług korzystających z tych kluczy lub nadużyć w systemie. Organizacje korzystające z tej wtyczki powinny rozważyć ryzyko nieautoryzowanego dostępu i potencjalnych naruszeń bezpieczeństwa danych.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Download Monitor i ich wdrożenie. W przypadku braku łatki należy ograniczyć dostęp użytkowników do poziomu subskrybenta lub wyższego oraz monitorować logi pod kątem nieautoryzowanych działań związanych z kluczami API. Priorytetowo traktuj przegląd uprawnień i zabezpieczeń API.

Źródła

• NVD
• Reference
• Reference
• Reference