CVE-2024-11724: luka w wtyczce WP Cookie Consent umożliwiająca nieautoryzowaną modyfikację danych

Co wiadomo

Wtyczka Cookie Consent for WP do WordPressa posiada lukę pozwalającą na nieautoryzowaną modyfikację danych poprzez brak odpowiedniej weryfikacji uprawnień w akcji AJAX w wersjach do 3.6.5 włącznie. Atakujący z poziomem dostępu Subskrybenta lub wyższym mogą dodawać skrypty do białej listy.

Wpływ biznesowy

Luka może pozwolić na wprowadzenie nieautoryzowanych skryptów, co może prowadzić do naruszenia prywatności użytkowników i problemów z zgodnością z regulacjami takimi jak GDPR czy CCPA. Operatorzy stron korzystających z tej wtyczki powinni rozważyć ryzyko związane z potencjalnym wykorzystaniem tej podatności, zwłaszcza w środowiskach z wieloma użytkownikami o różnych poziomach dostępu.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki u dostawcy oraz jej wdrożenie. W międzyczasie warto ograniczyć dostęp użytkowników do poziomu Subskrybenta i wyższego, monitorować logi pod kątem nietypowych działań oraz rozważyć tymczasowe wyłączenie funkcji AJAX związanej z zapisem skryptów, jeśli to możliwe.

Źródła

• NVD
• Reference
• Reference