CVE-2024-12810: luka w motywie JobCareer dla WordPress umożliwiająca nieautoryzowany dostęp

Co wiadomo

Motyw JobCareer dla WordPress do wersji 7.1 włącznie posiada lukę umożliwiającą użytkownikom z poziomem subskrybenta i wyższym nieautoryzowany dostęp do funkcji takich jak usuwanie plików, tworzenie i przywracanie kopii zapasowych oraz modyfikacja ustawień motywu.

Wpływ biznesowy

Luka ta może prowadzić do utraty danych, nieautoryzowanych zmian w konfiguracji motywu oraz potencjalnego zakłócenia działania serwisu opartego na WordPress. Atakujący z ograniczonymi uprawnieniami mogą eskalować swoje możliwości, co stanowi poważne zagrożenie dla integralności i dostępności witryny.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji motywu JobCareer u dostawcy oraz ich wdrożenie. W międzyczasie warto ograniczyć dostęp użytkowników do poziomu subskrybenta i monitorować logi systemowe pod kątem podejrzanych działań. Dodatkowo, należy rozważyć przegląd i wzmocnienie uprawnień użytkowników oraz regularne tworzenie kopii zapasowych.

Źródła

• NVD
• Reference
• Reference