CVE-2024-12341: Luka w wtyczce Custom Skins Contact Form 7 umożliwia modyfikację danych

Co wiadomo

Wtyczka Custom Skins Contact Form 7 dla WordPressa posiada lukę pozwalającą na nieautoryzowaną modyfikację danych poprzez brak sprawdzenia uprawnień w funkcji 'cf7cs_action_callback'. Atakujący z poziomem dostępu Subskrybenta lub wyższym mogą zmieniać treść dowolnego wpisu oraz tworzyć nowe skórki.

Wpływ biznesowy

Ta luka może prowadzić do nieautoryzowanych zmian w zawartości strony internetowej, co może wpłynąć na reputację firmy oraz integralność danych. Administratorzy stron WordPress powinni zwrócić uwagę na potencjalne ryzyko związane z modyfikacją treści przez użytkowników o niskich uprawnieniach, co może skutkować defacementem lub wprowadzeniem złośliwych treści.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Custom Skins Contact Form 7 i ich wdrożenie. W przypadku braku łatki należy ograniczyć dostęp użytkowników do poziomu wyższego niż Subskrybent oraz monitorować logi pod kątem podejrzanych działań związanych z modyfikacją treści. Warto również rozważyć tymczasowe wyłączenie wtyczki do czasu załatania luki.

Źródła

• NVD
• Reference
• Reference