Analityczne wykorzystywanie plików cookies
CVE-2024-10606: luka w wtyczce WP Travel Engine umożliwiająca nieautoryzowaną modyfikację danych
Luka w WP Travel Engine umożliwia użytkownikom z uprawnieniami współtwórcy modyfikację ustawień. Sprawdź aktualizacje i zabezpiecz dostęp.
- CVSS
- 4.3 MEDIUM
- EPSS
- 21.88%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- wp travel engine
Co wiadomo
Wtyczka WP Travel Engine – Tour Booking Plugin dla WordPressa posiada lukę polegającą na braku sprawdzenia uprawnień w funkcji wpte_onboard_save_function_callback() we wszystkich wersjach do 6.2.1 włącznie. Pozwala to uwierzytelnionym użytkownikom z uprawnieniami co najmniej na poziomie współtwórcy na modyfikację ustawień, co może prowadzić do strat finansowych i niepożądanych zmian na stronie.
Wpływ biznesowy
Atakujący z dostępem na poziomie współtwórcy lub wyższym mogą zmieniać kluczowe ustawienia wtyczki, co może skutkować utratą przychodów oraz niezamierzonymi aktualizacjami treści na stronie. W środowiskach produkcyjnych może to wpłynąć na reputację firmy oraz stabilność działania serwisu rezerwacyjnego.
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki WP Travel Engine u dostawcy oraz ich wdrożenie. W międzyczasie ogranicz dostęp do panelu administracyjnego tylko do zaufanych użytkowników oraz monitoruj logi pod kątem nietypowych zmian konfiguracji. Priorytetowo traktuj audyt uprawnień użytkowników i minimalizuj liczbę osób z dostępem na poziomie współtwórcy lub wyższym.