CVE-2024-11271: Luka wtyczki WebinarPress dla WordPress umożliwiająca modyfikację danych

Co wiadomo

Wtyczka WebinarPress dla WordPress do wersji 1.33.24 włącznie posiada lukę polegającą na braku weryfikacji uprawnień w kilku funkcjach, co pozwala uwierzytelnionym użytkownikom z poziomem subskrybenta i wyższym na modyfikację webinarów. Luka ta ma wysoką ocenę CVSS 8.8.

Wpływ biznesowy

Atakujący z kontem subskrybenta lub wyższym mogą nieautoryzowanie zmieniać treści webinarów, co może prowadzić do utraty integralności danych i potencjalnego naruszenia zaufania użytkowników. W środowiskach biznesowych wykorzystujących tę wtyczkę istnieje ryzyko manipulacji wydarzeniami online, co może wpłynąć na reputację i operacje marketingowe.

Rekomendowane działania administratora

Administratorzy powinni niezwłocznie zweryfikować wersję wtyczki WebinarPress i zaktualizować ją do najnowszej dostępnej wersji po wydaniu poprawki przez producenta. W międzyczasie zaleca się ograniczenie dostępu użytkowników do minimum niezbędnego oraz monitorowanie logów pod kątem nietypowych działań związanych z webinarami. Warto również przeprowadzić przegląd uprawnień użytkowników i usunąć zbędne konta lub podwyższone uprawnienia.

Źródła

• NVD
• Reference
• Reference