Analityczne wykorzystywanie plików cookies
CVE-2024-1158: luka w wtyczce buddyforms umożliwiająca nieautoryzowaną modyfikację danych
Luka w buddyforms do WordPress pozwala subskrybentom tworzyć i publikować strony bez autoryzacji. Sprawdź zalecenia bezpieczeństwa.
- CVSS
- 4.3 MEDIUM
- EPSS
- 40.31%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- buddyforms
Co wiadomo
Wtyczka buddyforms dla WordPressa do tworzenia formularzy użytkowników (wersje do 2.8.7 włącznie) posiada lukę polegającą na braku sprawdzenia uprawnień w funkcji buddyforms_new_page. Pozwala to uwierzytelnionym użytkownikom z dostępem subskrybenta lub wyższym na tworzenie i publikowanie stron z dowolnymi tytułami.
Wpływ biznesowy
Atakujący z kontem subskrybenta mogą tworzyć i publikować strony o dowolnej treści, co może prowadzić do nieautoryzowanych zmian w witrynie, potencjalnego wprowadzenia fałszywych informacji lub naruszenia integralności danych. Może to wpłynąć na reputację firmy oraz wymagać dodatkowych zasobów na wykrycie i usunięcie nieautoryzowanych treści.
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki buddyforms u dostawcy oraz ich wdrożenie. W międzyczasie warto ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem tworzenia nowych stron oraz rozważyć tymczasowe wyłączenie funkcji tworzenia stron przez użytkowników o niskich uprawnieniach.