Analityczne wykorzystywanie plików cookies
CVE-2024-10216: luka w wtyczce WP User Manager umożliwiająca nieautoryzowaną modyfikację danych
Luka w WP User Manager pozwala użytkownikom z poziomem Subskrybenta modyfikować panele boczne, jeśli zainstalowano Carbon Fields. Sprawdź zalecenia bezpieczeństwa.
- CVSS
- 4.3 MEDIUM
- EPSS
- 35.1%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- wp user manager
Co wiadomo
Wtyczka WP User Manager – User Profile Builder & Membership do WordPressa posiada lukę pozwalającą na nieautoryzowaną modyfikację danych poprzez brak weryfikacji uprawnień w funkcjach 'add_sidebar' i 'remove_sidebar' we wszystkich wersjach do 2.9.11 włącznie. Atakujący z poziomem dostępu Subskrybenta lub wyższym mogą dodawać lub usuwać niestandardowe panele boczne Carbon Fields, jeśli wtyczka Carbon Fields jest zainstalowana.
Wpływ biznesowy
Luka umożliwia użytkownikom z podstawowymi uprawnieniami (Subskrybent i wyżej) modyfikację elementów interfejsu, co może prowadzić do nieautoryzowanych zmian w wyglądzie lub funkcjonalności strony. Może to wpłynąć na integralność i spójność danych oraz zaufanie użytkowników. Operatorzy powinni rozważyć ryzyko związane z instalacją wtyczki Carbon Fields oraz kontrolą dostępu do panelu administracyjnego.
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki WP User Manager i jej instalację. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do niezbędnego minimum, zweryfikować obecność wtyczki Carbon Fields oraz monitorować logi pod kątem podejrzanych działań związanych z modyfikacją paneli bocznych. Warto również rozważyć tymczasowe wyłączenie funkcji dodawania i usuwania sidebarów, jeśli to możliwe.