Analityczne wykorzystywanie plików cookies
CVE-2024-10800: Luka wtyczki User Extra Fields umożliwiająca eskalację uprawnień
Wtyczka User Extra Fields WordPress ma lukę umożliwiającą eskalację uprawnień do administratora. Sprawdź i zabezpiecz swoją stronę już dziś.
- CVSS
- 8.8 HIGH
- EPSS
- 52.47%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- user extra fields
Co wiadomo
Wtyczka User Extra Fields dla WordPressa zawiera lukę pozwalającą na eskalację uprawnień przez brak odpowiedniej weryfikacji w funkcji ajax_save_fields() we wszystkich wersjach do 16.6 włącznie. Atakujący z poziomem subskrybenta lub wyższym mogą dodać niestandardowe pola i zmodyfikować uprawnienia na administratora.
Wpływ biznesowy
Luka ta stanowi poważne zagrożenie dla bezpieczeństwa witryn opartych na WordPressie korzystających z tej wtyczki, umożliwiając nieautoryzowanym użytkownikom podniesienie uprawnień do poziomu administratora. Może to prowadzić do przejęcia kontroli nad stroną, modyfikacji treści, instalacji złośliwego oprogramowania lub innych działań szkodliwych dla infrastruktury IT i reputacji firmy.
Rekomendowane działania administratora
Administratorzy powinni niezwłocznie sprawdzić, czy używają wtyczki User Extra Fields w wersji do 16.6 i rozważyć jej aktualizację do najnowszej wersji udostępnionej przez producenta. W przypadku braku dostępnej poprawki zaleca się ograniczenie dostępu użytkowników do niezbędnego minimum, monitorowanie logów pod kątem podejrzanych działań oraz priorytetowe traktowanie tej luki w procesie zarządzania podatnościami.