CVE-2024-11844: luka w wtyczce IdeaPush dla WordPress umożliwiająca nieautoryzowaną modyfikację danych

Co wiadomo

Wtyczka IdeaPush dla WordPress do wersji 8.71 włącznie posiada lukę polegającą na braku sprawdzenia uprawnień w funkcji idea_push_taxonomy_save_routine. Pozwala to uwierzytelnionym użytkownikom z poziomem Subskrybenta i wyższym na usuwanie terminów taksonomii „boards”.

Wpływ biznesowy

Luka ta może prowadzić do nieautoryzowanego usuwania danych taksonomii w witrynach korzystających z wtyczki IdeaPush, co może zakłócić funkcjonowanie serwisu i wpłynąć na integralność treści. Operatorzy powinni zwrócić uwagę na potencjalne nadużycia przez użytkowników z podstawowymi uprawnieniami, które mogą skutkować utratą ważnych danych.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki IdeaPush u dostawcy oraz ich wdrożenie. W międzyczasie warto ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem podejrzanych działań oraz przeprowadzić audyt obecnych ról i uprawnień w systemie WordPress.

Źródła

• NVD
• Reference
• Reference
• Reference