Analityczne wykorzystywanie plików cookies
CVE-2024-11085: WP Log Viewer - brak kontroli uprawnień w AJAX
Luka w WP Log Viewer umożliwia użytkownikom Subskrybenta dostęp do logów i ustawień. Zalecana aktualizacja wtyczki i ograniczenie dostępu.
- CVSS
- 5.4 MEDIUM
- EPSS
- 23.88%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- -
Co wiadomo
Wtyczka WP Log Viewer dla WordPressa do wersji 1.2.1 ma lukę umożliwiającą nieautoryzowane użycie funkcji przez brak sprawdzenia uprawnień w kilku akcjach AJAX. Atakujący z poziomem dostępu Subskrybenta i wyższym mogą przeglądać logi oraz modyfikować ustawienia wtyczki.
Wpływ biznesowy
Luka pozwala na dostęp do wrażliwych logów i zmianę konfiguracji wtyczki przez użytkowników o ograniczonych uprawnieniach, co może prowadzić do eskalacji uprawnień lub ujawnienia informacji. Operatorzy stron WordPress powinni zweryfikować, czy używają podatnej wersji i ocenić ryzyko związane z dostępem do logów i ustawień.
Rekomendowane działania administratora
Zaleca się jak najszybsze zaktualizowanie wtyczki WP Log Viewer do najnowszej wersji udostępnionej przez producenta. W przypadku braku dostępnej aktualizacji należy ograniczyć dostęp użytkowników do poziomu wyższego niż Subskrybent oraz monitorować logi pod kątem podejrzanych działań. Warto również przeprowadzić przegląd uprawnień i audyt bezpieczeństwa środowiska WordPress.