Analityczne wykorzystywanie plików cookies
CVE-2024-10970: podatność w wtyczce Motors – Car Dealer, Classifieds & Listing dla WordPress
Wtyczka Motors dla WordPress umożliwia wykonanie dowolnych shortcode'ów przez użytkowników z poziomem Subskrybenta. Sprawdź zalecenia bezpieczeństwa.
- CVSS
- 5.4 MEDIUM
- EPSS
- 25.25%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- motors - car dealer\, classifieds \& listing
Co wiadomo
Wtyczka Motors – Car Dealer, Classifieds & Listing dla WordPress w wersjach do 1.4.43 włącznie umożliwia uwierzytelnionym użytkownikom z poziomem Subskrybenta lub wyższym wykonanie dowolnych shortcode'ów z powodu braku odpowiedniej walidacji wartości przed wywołaniem funkcji do_shortcode.
Wpływ biznesowy
Atakujący z dostępem na poziomie Subskrybenta mogą wykorzystać tę lukę do wykonania nieautoryzowanych shortcode'ów, co może prowadzić do niezamierzonych działań na stronie, potencjalnie wpływając na integralność i bezpieczeństwo witryny. Operatorzy IT powinni zwrócić uwagę na możliwość eskalacji uprawnień i nieautoryzowanych modyfikacji treści lub funkcji strony.
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Motors i ich wdrożenie. W międzyczasie warto ograniczyć dostęp użytkowników do poziomu Subskrybenta oraz wyższego tylko do zaufanych osób, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć zastosowanie dodatkowych mechanizmów kontroli i walidacji shortcode'ów.