CVE-2024-10311: luka wtyczki External Database Based Actions umożliwiająca obejście uwierzytelniania

Co wiadomo

Wtyczka External Database Based Actions dla WordPress w wersjach do 0.1 włącznie posiada lukę pozwalającą na obejście uwierzytelniania. Brak odpowiedniej kontroli uprawnień w funkcji 'edba_admin_handle' umożliwia atakującym z uprawnieniami subskrybenta lub wyższymi modyfikację ustawień wtyczki i logowanie się jako dowolny użytkownik, w tym administrator.

Wpływ biznesowy

Luka ta stanowi poważne zagrożenie dla bezpieczeństwa stron opartych na WordPress, ponieważ pozwala na eskalację uprawnień i przejęcie konta administratora. Może to prowadzić do nieautoryzowanych zmian w konfiguracji witryny, wycieku danych lub całkowitej utraty kontroli nad serwisem. Operatorzy powinni traktować tę podatność jako wysokiego ryzyka i priorytetowo podejść do jej eliminacji.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki External Database Based Actions u jej dostawcy oraz ich wdrożenie. W przypadku braku łatki należy ograniczyć dostęp do panelu administracyjnego tylko do zaufanych użytkowników, monitorować logi pod kątem podejrzanych działań oraz rozważyć tymczasowe wyłączenie wtyczki. Regularne przeglądy uprawnień użytkowników i audyty bezpieczeństwa są również wskazane.

Źródła

• NVD
• Reference
• Reference