CVE-2024-10786: Luka wtyczki Simple Local Avatars umożliwiająca nieautoryzowaną modyfikację danych

Co wiadomo

Wtyczka Simple Local Avatars dla WordPressa do wersji 2.7.11 ma lukę pozwalającą na nieautoryzowane czyszczenie pamięci podręcznej użytkowników przez atakujących z uprawnieniami subskrybenta i wyższymi. Problem wynika z braku odpowiedniej weryfikacji uprawnień w funkcji sla_clear_user_cache.

Wpływ biznesowy

Atakujący z dostępem na poziomie subskrybenta mogą manipulować pamięcią podręczną użytkowników, co może prowadzić do zakłóceń w działaniu serwisu i potencjalnie wpływać na doświadczenie użytkowników. Organizacje korzystające z tej wtyczki powinny rozważyć ryzyko związane z nieautoryzowanym dostępem i wpływem na integralność danych.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Simple Local Avatars i ich zastosowanie. W przypadku braku łatki należy ograniczyć dostęp użytkowników do poziomu subskrybenta oraz wyższego, monitorować logi pod kątem podejrzanych działań i priorytetyzować działania zabezpieczające w środowisku WordPress.

Źródła

• NVD
• Reference
• Reference
• Reference