CVE-2024-11354: luka w wtyczce Ultimate YouTube Video & Shorts Player with Vimeo

Co wiadomo

Wtyczka Ultimate YouTube Video & Shorts Player with Vimeo dla WordPressa ma lukę umożliwiającą nieautoryzowaną modyfikację danych poprzez brak sprawdzenia uprawnień w funkcji del_ytsingvid(). Atakujący z poziomem subskrybenta lub wyższym mogą usuwać pojedyncze playlisty.

Wpływ biznesowy

Luka pozwala na usuwanie playlist przez użytkowników z ograniczonymi uprawnieniami, co może prowadzić do zakłóceń w działaniu serwisu i utraty danych multimedialnych. Operatorzy stron korzystających z tej wtyczki powinni traktować tę podatność jako średniego ryzyka, zwłaszcza jeśli dostęp do panelu mają użytkownicy o niższych uprawnieniach.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki u dostawcy oraz ich wdrożenie. W międzyczasie warto ograniczyć dostęp do panelu administracyjnego tylko do zaufanych użytkowników, monitorować logi pod kątem podejrzanych działań oraz rozważyć tymczasowe wyłączenie funkcji usuwania playlist dla użytkowników o niższych uprawnieniach.

Źródła

• NVD
• Reference
• Reference
• Reference