Analityczne wykorzystywanie plików cookies
CVE-2024-13358: Luka w integracji BuddyPress WooCommerce My Account umożliwiająca nieautoryzowany dostęp
Luka w wtyczce BuddyPress WooCommerce My Account Integration pozwala użytkownikom z poziomem Subskrybenta na nieautoryzowane zmiany ustawień stron.
- CVSS
- 4.3 MEDIUM
- EPSS
- 16.11%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- buddypress woocommerce my account integration
Co wiadomo
Wtyczka BuddyPress WooCommerce My Account Integration dla WordPressa posiada lukę umożliwiającą nieautoryzowany dostęp z powodu braku sprawdzenia uprawnień w funkcji wc4bp_delete_page() we wszystkich wersjach do 3.4.24 włącznie. Atakujący z poziomem dostępu Subskrybenta lub wyższym mogą zmieniać ustawienia stron wtyczki.
Wpływ biznesowy
Luka pozwala na modyfikację ustawień stron wtyczki przez użytkowników z podstawowymi uprawnieniami, co może prowadzić do niepożądanych zmian w witrynie i potencjalnych problemów z integralnością danych. Operatorzy IT powinni zwrócić uwagę na możliwość eskalacji uprawnień i wpływ na stabilność oraz bezpieczeństwo środowiska WordPress.
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki u dostawcy oraz ich instalację. W międzyczasie warto ograniczyć dostęp użytkowników do poziomu Subskrybenta lub wyższego oraz monitorować logi pod kątem nieautoryzowanych zmian. Dodatkowo, należy przeprowadzić przegląd uprawnień użytkowników i ograniczyć je do niezbędnego minimum.