CVE-2024-13429: podatność w wtyczce WP Job Portal

Co wiadomo

Wtyczka WP Job Portal dla WordPressa do wersji 2.2.6 zawiera lukę typu Insecure Direct Object Reference (IDOR) w funkcji 'jobenforcedelete', umożliwiającą uwierzytelnionym użytkownikom z uprawnieniami pracodawcy usuwanie wybranych danych bez odpowiedniej walidacji.

Wpływ biznesowy

Luka pozwala na nieautoryzowane usuwanie danych przez użytkowników z poziomem dostępu pracodawcy i wyższym, co może prowadzić do utraty ważnych informacji rekrutacyjnych i zakłóceń w działaniu portalu. Organizacje korzystające z tej wtyczki powinny zweryfikować swoje środowiska pod kątem potencjalnych nadużyć i przygotować się na możliwe incydenty związane z integralnością danych.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki WP Job Portal u dostawcy oraz ich wdrożenie. W międzyczasie warto ograniczyć dostęp do funkcji usuwania tylko do zaufanych użytkowników, monitorować logi aktywności pod kątem podejrzanych działań oraz przeprowadzić audyt uprawnień użytkowników w systemie.

Źródła

• NVD
• Reference
• Reference