CVE-2024-11194: Luka wtyczki Classified Listing dla WordPress umożliwiająca eskalację uprawnień

Co wiadomo

Wtyczka Classified Listing – Classified ads & Business Directory dla WordPress do wersji 3.1.15.1 zawiera lukę pozwalającą uwierzytelnionym użytkownikom z poziomem Subskrybenta na modyfikację wybranych opcji, co może prowadzić do eskalacji uprawnień do poziomu administratora. Luka wynika z błędnej walidacji funkcji 'rtcl_import_settings'.

Wpływ biznesowy

Atakujący z dostępem na poziomie Subskrybenta mogą wykorzystać tę lukę do nadania sobie uprawnień administratora, co zagraża integralności i bezpieczeństwu całej witryny WordPress. Może to skutkować nieautoryzowanym dostępem do danych, zmianą konfiguracji oraz potencjalnym przejęciem kontroli nad serwisem.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki u dostawcy i ich wdrożenie. W międzyczasie warto ograniczyć dostęp użytkowników do poziomu Subskrybenta oraz monitorować logi pod kątem podejrzanych działań. Priorytetowo należy ocenić ekspozycję serwisu i rozważyć dodatkowe zabezpieczenia, takie jak weryfikacja uprawnień i audyt konfiguracji.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference