CVE-2024-1218: luka w wtyczce Kali Forms do WordPress umożliwiająca nieautoryzowany dostęp

Co wiadomo

Wtyczka Kali Forms do WordPress, służąca do tworzenia formularzy kontaktowych metodą drag & drop, posiada lukę pozwalającą na nieautoryzowany dostęp i modyfikację danych przez API. Problem dotyczy wszystkich wersji do 2.3.41 włącznie i wynika z nieprawidłowej weryfikacji uprawnień na kilku endpointach REST.

Wpływ biznesowy

Atakujący z uprawnieniami co najmniej współtwórcy (contributor) mogą uzyskać dostęp do formularzy lub wpisów oraz je modyfikować, co może prowadzić do naruszenia integralności danych i potencjalnego wpływu na działanie serwisu. Organizacje korzystające z tej wtyczki powinny zweryfikować swoje środowiska pod kątem tej podatności i odpowiednio zabezpieczyć dostęp.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Kali Forms u jej dostawcy oraz ich wdrożenie. W międzyczasie warto ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem podejrzanych działań oraz rozważyć czasowe wyłączenie funkcji API, jeśli to możliwe. Priorytetowo należy ocenić ryzyko i podjąć działania minimalizujące ekspozycję.

Źródła

• NVD
• Reference
• Reference