CVE-2024-12327: Luka w wtyczce LazyLoad Background Images dla WordPress umożliwia nieautoryzowaną modyfikację ustawień

Co wiadomo

Wtyczka LazyLoad Background Images dla WordPress do wersji 1.0.7 ma lukę polegającą na braku weryfikacji uprawnień w funkcji pblzbg_save_settings(), co pozwala użytkownikom z poziomem Subskrybenta i wyższym na zmianę ustawień wtyczki.

Wpływ biznesowy

Atakujący z dostępem na poziomie Subskrybenta mogą zmieniać konfigurację wtyczki, co może prowadzić do niezamierzonych zmian w działaniu strony lub potencjalnych problemów z bezpieczeństwem. W środowiskach, gdzie użytkownicy mają takie uprawnienia, istnieje ryzyko nieautoryzowanych modyfikacji, które mogą wpłynąć na stabilność i integralność serwisu.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki LazyLoad Background Images u jej dostawcy oraz ich wdrożenie. W międzyczasie warto ograniczyć liczbę użytkowników z uprawnieniami Subskrybenta i wyższymi oraz monitorować logi systemowe pod kątem podejrzanych zmian konfiguracji. Priorytetowo należy ocenić ekspozycję serwisu i wprowadzić dodatkowe zabezpieczenia dostępu.

Źródła

• NVD
• Reference
• Reference
• Reference