CVE-2024-10531: luka w wtyczce Kognetiks Chatbot dla WordPress umożliwiająca nieautoryzowaną modyfikację danych

Co wiadomo

Wtyczka Kognetiks Chatbot dla WordPress do wersji 2.1.7 włącznie posiada lukę umożliwiającą nieautoryzowaną modyfikację danych przez brak sprawdzenia uprawnień w funkcji update_assistant(). Atakujący z poziomem subskrybenta lub wyższym mogą aktualizować asystentów GTP.

Wpływ biznesowy

Luka pozwala na modyfikację konfiguracji asystentów chatbotów przez użytkowników z ograniczonymi uprawnieniami, co może prowadzić do nieautoryzowanych zmian w działaniu chatbota i potencjalnie wpływać na interakcje z użytkownikami oraz bezpieczeństwo danych. Operatorzy stron WordPress powinni zweryfikować swoje instalacje i ograniczyć ryzyko nieautoryzowanych modyfikacji.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Kognetiks Chatbot i ich zastosowanie. W przypadku braku łatki należy ograniczyć dostęp użytkowników do poziomu subskrybenta lub wyższego oraz monitorować logi pod kątem podejrzanych działań związanych z aktualizacją asystentów. Warto również przeprowadzić przegląd uprawnień użytkowników i wdrożyć zasady minimalnych uprawnień.

Źródła

• NVD
• Reference
• Reference
• Reference