CVE-2024-12018: Nieautoryzowane usuwanie shortcode'ów w wtyczce Snippet Shortcodes dla WordPress

Co wiadomo

Wtyczka Snippet Shortcodes dla WordPress do wersji 4.1.6 włącznie posiada lukę umożliwiającą nieautoryzowane usunięcie shortcode'ów z powodu braku odpowiedniej autoryzacji. Atakujący z poziomem dostępu Subskrybenta lub wyższym mogą wykorzystać wyciekniętą wartość nonce, by usunąć shortcode'y wtyczki.

Wpływ biznesowy

Luka pozwala na usunięcie shortcode'ów, co może prowadzić do zakłóceń w funkcjonowaniu stron opartych na WordPress korzystających z tej wtyczki. Może to skutkować utratą funkcjonalności lub nieprawidłowym wyświetlaniem treści, wpływając na doświadczenie użytkowników i reputację firmy.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Snippet Shortcodes i ich wdrożenie. W przypadku braku łatki, ogranicz dostęp użytkowników do poziomu Subskrybenta lub wyższego oraz monitoruj logi pod kątem podejrzanych działań związanych z usuwaniem shortcode'ów. Priorytetyzuj działania zabezpieczające i rozważ tymczasowe wyłączenie wtyczki, jeśli jest krytyczna dla bezpieczeństwa.

Źródła

• NVD
• Reference
• Reference
• Reference