CVE-2024-12618: Newsletter2Go dla WordPress umożliwia nieautoryzowaną modyfikację stylów

Co wiadomo

Wtyczka Newsletter2Go dla WordPress do wersji 4.0.14 włącznie posiada lukę pozwalającą na nieautoryzowaną zmianę stylów poprzez brak odpowiedniej weryfikacji uprawnień w akcji AJAX 'resetStyles'. Atakujący z poziomem subskrybenta lub wyższym mogą zresetować style.

Wpływ biznesowy

Luka ta może prowadzić do niezamierzonych zmian wizualnych na stronach korzystających z wtyczki Newsletter2Go, co może wpłynąć na wizerunek firmy i doświadczenie użytkowników. Choć nie jest to krytyczna podatność, nieautoryzowane modyfikacje mogą zakłócić działanie kampanii marketingowych i wymagać dodatkowych zasobów na naprawę.

Rekomendowane działania administratora

Administratorzy powinni zweryfikować wersję wtyczki Newsletter2Go i rozważyć aktualizację do najnowszej dostępnej wersji. W przypadku braku łatki, zaleca się ograniczenie dostępu użytkowników do poziomu wyższego niż subskrybent oraz monitorowanie logów pod kątem podejrzanych działań związanych z resetowaniem stylów. Warto również ocenić ekspozycję serwisu i priorytetyzować działania zabezpieczające.

Źródła

• NVD
• Reference
• Reference