CVE-2024-10326: luka w romethemekit for Elementor umożliwiająca nieautoryzowaną modyfikację danych

Co wiadomo

Wtyczka RomethemeKit for Elementor do WordPressa do wersji 1.5.3 zawiera lukę pozwalającą użytkownikom z poziomem Subskrybenta i wyższym na nieautoryzowaną zmianę ustawień wtyczki lub resetowanie widgetów do stanu domyślnego. Problem wynika z braku odpowiedniej weryfikacji uprawnień w funkcjach save_options i reset_widgets. Częściowa poprawka została wprowadzona w wersji 1.5.3.

Wpływ biznesowy

Atakujący z kontem o niskim poziomie uprawnień mogą zmieniać konfigurację wtyczki lub resetować widgety, co może prowadzić do niezamierzonych zmian w wyglądzie i funkcjonalności strony opartej na WordPress. Może to wpłynąć na stabilność i spójność działania serwisu, a także na doświadczenie użytkowników końcowych.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki i jej instalację, szczególnie wersji powyżej 1.5.3, która częściowo naprawia lukę. Warto również ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi aktywności oraz rozważyć audyt konfiguracji wtyczek i widgetów w celu wykrycia nieautoryzowanych zmian.

Źródła

• NVD
• Reference
• Reference
• Reference