CVE-2024-12855: luka w motywie AdForest dla WordPress umożliwiająca nieautoryzowaną modyfikację danych

Co wiadomo

Motyw AdForest dla WordPress do wersji 5.1.7 włącznie posiada lukę polegającą na braku weryfikacji uprawnień przy kilku akcjach AJAX, takich jak 'sb_remove_ad'. Umożliwia to atakującym z poziomem dostępu Subskrybenta lub wyższym usuwanie postów, załączników oraz dezaktywację licencji.

Wpływ biznesowy

Luka ta może prowadzić do nieautoryzowanego usuwania treści i dezaktywacji licencji, co wpływa na integralność i dostępność serwisu opartego na WordPress z motywem AdForest. Operatorzy powinni traktować tę podatność jako średniego ryzyka, zwłaszcza w środowiskach z wieloma użytkownikami o różnym poziomie dostępu.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji motywu AdForest u dostawcy oraz ich wdrożenie. W międzyczasie warto ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem podejrzanych działań oraz rozważyć tymczasowe wyłączenie funkcji AJAX wymienionych w opisie luki.

Źródła

• NVD
• Reference
• Reference