CVE-2024-12201: luka w wtyczce Hash Form umożliwiająca nieautoryzowany dostęp

Co wiadomo

Wtyczka Hash Form – Drag & Drop Form Builder dla WordPressa do wersji 1.2.1 włącznie posiada lukę polegającą na braku sprawdzenia uprawnień przy tworzeniu stylów formularzy. Pozwala to użytkownikom z uprawnieniami na poziomie Współtwórcy i wyższymi na tworzenie nowych stylów formularzy bez odpowiedniej autoryzacji.

Wpływ biznesowy

Luka może prowadzić do nieautoryzowanego tworzenia i modyfikacji stylów formularzy, co może wpłynąć na wygląd i funkcjonalność witryny. Dla operatorów IT i właścicieli infrastruktury oznacza to ryzyko niezamierzonych zmian w interfejsie użytkownika oraz potencjalne problemy z zarządzaniem treścią i bezpieczeństwem formularzy.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Hash Form u dostawcy oraz ich wdrożenie. W międzyczasie warto ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem nietypowej aktywności oraz ocenić ekspozycję systemu na potencjalne ataki. Priorytetem jest szybka weryfikacja i wdrożenie poprawek bezpieczeństwa.

Źródła

• NVD
• Reference
• Reference