Analityczne wykorzystywanie plików cookies
CVE-2024-13449: luka w wtyczce Boom Fest umożliwiająca nieautoryzowaną modyfikację danych
Luka w Boom Fest WordPress pozwala użytkownikom Subskrybenta na nieautoryzowaną zmianę ustawień wyglądu strony. Sprawdź zalecenia bezpieczeństwa.
- CVSS
- 4.3 MEDIUM
- EPSS
- 24.2%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- boom fest
Co wiadomo
Wtyczka Boom Fest dla WordPressa do wersji 2.2.1 włącznie posiada lukę polegającą na braku weryfikacji uprawnień w funkcji 'bf_admin_action'. Pozwala to uwierzytelnionym użytkownikom z poziomem Subskrybenta lub wyższym na zmianę ustawień wtyczki, które wpływają na wygląd strony.
Wpływ biznesowy
Atakujący z kontem o niskich uprawnieniach mogą zmieniać ustawienia wizualne witryny, co może prowadzić do nieautoryzowanych zmian w wyglądzie strony i potencjalnego naruszenia integralności treści. Dla operatorów IT i właścicieli infrastruktury oznacza to ryzyko manipulacji interfejsem użytkownika bez konieczności posiadania wyższych uprawnień administracyjnych.
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Boom Fest u dostawcy oraz ich wdrożenie. W międzyczasie warto ograniczyć dostęp użytkowników do poziomu Subskrybenta i wyższego oraz monitorować logi pod kątem nieautoryzowanych zmian ustawień wtyczki. Priorytetem jest szybka weryfikacja i wdrożenie poprawek bezpieczeństwa.