CVE-2024-11353: Luka w wtyczce SMS for Lead Capture Forms umożliwia nieautoryzowaną modyfikację danych

Co wiadomo

Wtyczka SMS for Lead Capture Forms dla WordPressa do wersji 1.1.0 włącznie posiada lukę pozwalającą na usuwanie wiadomości bez odpowiednich uprawnień. Atakujący z poziomem dostępu Subskrybenta lub wyższym mogą usunąć dowolne wiadomości, co wynika z braku weryfikacji uprawnień w funkcji delete_message().

Wpływ biznesowy

Luka umożliwia osobom z ograniczonym dostępem do panelu WordPressa usuwanie wiadomości, co może prowadzić do utraty ważnych danych i zakłóceń w komunikacji z klientami. Może to wpłynąć na procesy marketingowe i obsługę leadów, obniżając efektywność działań biznesowych.

Rekomendowane działania administratora

Administratorzy powinni niezwłocznie zweryfikować, czy używają wtyczki SMS for Lead Capture Forms w wersji do 1.1.0 i rozważyć aktualizację do nowszej wersji, jeśli jest dostępna. W przypadku braku aktualizacji zaleca się ograniczenie dostępu użytkownikom do poziomu niższego niż Subskrybent oraz monitorowanie logów pod kątem podejrzanych działań związanych z usuwaniem wiadomości.

Źródła

• NVD
• Reference
• Reference
• Reference