CVE-2024-1125: luka w wtyczce EventPrime umożliwiająca nieautoryzowane usuwanie danych

Co wiadomo

Wtyczka EventPrime – Events Calendar, Bookings and Tickets dla WordPressa do wersji 3.4.3 ma lukę umożliwiającą użytkownikom z uprawnieniami subskrybenta i wyższymi usuwanie dowolnych postów bez odpowiedniej weryfikacji uprawnień. Problem wynika z braku sprawdzenia uprawnień w funkcji calendar_events_delete().

Wpływ biznesowy

Luka może prowadzić do nieautoryzowanej utraty danych, co wpływa na integralność i dostępność treści w serwisie opartym na WordPressie. Administratorzy powinni traktować tę podatność jako średniego ryzyka, szczególnie w środowiskach, gdzie wielu użytkowników ma dostęp do panelu. Niewłaściwe usuwanie postów może zakłócić działalność biznesową oraz wymagać przywracania danych z kopii zapasowych.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki EventPrime u dostawcy i ich wdrożenie. W międzyczasie warto ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi systemowe pod kątem podejrzanych działań oraz przeprowadzić przegląd kont użytkowników z dostępem do panelu WordPressa.

Źródła

• NVD
• Reference
• Reference