Analityczne wykorzystywanie plików cookies
CVE-2024-1129: luka w wtyczce NEX-Forms umożliwiająca nieautoryzowany dostęp
Luka w wtyczce NEX-Forms dla WordPress pozwala uwierzytelnionym użytkownikom na nieautoryzowane oznaczanie rekordów. Sprawdź zalecenia bezpieczeństwa.
- CVSS
- 5.3 MEDIUM
- EPSS
- 45.03%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- nex-forms
Co wiadomo
Wtyczka NEX-Forms – Ultimate Form Builder dla WordPressa posiada lukę w funkcji set_starred(), która nie sprawdza uprawnień użytkownika. Pozwala to uwierzytelnionym użytkownikom z poziomem subskrybenta lub wyższym oznaczać rekordy jako wyróżnione.
Wpływ biznesowy
Atakujący z dostępem subskrybenta mogą manipulować danymi formularzy, co może prowadzić do nieautoryzowanych zmian w systemie i potencjalnego wpływu na integralność danych. Może to obniżyć zaufanie użytkowników i wymagać dodatkowych działań naprawczych w infrastrukturze IT.
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki NEX-Forms u dostawcy oraz jej wdrożenie. W międzyczasie warto ograniczyć dostęp użytkowników do poziomu subskrybenta i wyżej oraz monitorować logi systemowe pod kątem podejrzanych działań związanych z oznaczaniem rekordów jako wyróżnionych.