CVE-2024-11205: podatność w wtyczce WPForms umożliwiająca nieautoryzowane modyfikacje

Co wiadomo

Wtyczka WPForms dla WordPressa w wersjach od 1.8.4 do 1.9.2.1 zawiera lukę umożliwiającą użytkownikom z uprawnieniami Subskrybenta i wyższymi nieautoryzowaną modyfikację danych. Luka wynika z braku odpowiedniej weryfikacji uprawnień w funkcji 'wpforms_is_admin_page', co pozwala na zwroty płatności i anulowanie subskrypcji.

Wpływ biznesowy

Ta podatność stwarza ryzyko nadużyć finansowych i zakłóceń w zarządzaniu subskrypcjami dla właścicieli stron korzystających z WPForms. Atakujący z niskim poziomem dostępu mogą manipulować płatnościami, co może prowadzić do strat finansowych i utraty zaufania klientów. Operatorzy IT powinni traktować tę lukę jako wysokiego ryzyka ze względu na jej potencjalny wpływ na przychody i reputację.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki WPForms i ich wdrożenie. W przypadku braku natychmiastowej poprawki, należy ograniczyć dostęp użytkowników do poziomu Subskrybenta i wyższego oraz monitorować logi pod kątem podejrzanych działań związanych z płatnościami i subskrypcjami. Priorytetem jest szybka weryfikacja i wdrożenie poprawek od dostawcy.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference