CVE-2024-12202: Luka w wtyczce Croma Music dla WordPress umożliwiająca eskalację uprawnień

Co wiadomo

Wtyczka Croma Music dla WordPress do wersji 3.6 ma lukę pozwalającą na nieautoryzowaną modyfikację danych przez brak sprawdzenia uprawnień w funkcji 'ironMusic_ajax'. Atakujący z poziomem subskrybenta lub wyższym mogą zmieniać opcje witryny, w tym domyślną rolę rejestracji na administratora.

Wpływ biznesowy

Luka umożliwia atakującym podniesienie uprawnień do poziomu administratora poprzez zmianę ustawień rejestracji użytkowników. Może to prowadzić do przejęcia kontroli nad stroną WordPress, co zagraża integralności i bezpieczeństwu danych oraz stabilności infrastruktury IT.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Croma Music i ich wdrożenie. W międzyczasie ogranicz dostęp do funkcji AJAX wtyczki, monitoruj logi pod kątem podejrzanych działań oraz rozważ tymczasowe wyłączenie rejestracji użytkowników. Priorytetyzuj działania zabezpieczające w środowiskach z narażonymi instalacjami WordPress.

Źródła

• NVD
• Reference
• Reference