CVE-2024-13530: Nieautoryzowany dostęp w wtyczce WordPress do zarządzania logowaniem

Co wiadomo

Wtyczka WordPress Custom Login Page Styler i powiązane funkcje do limitowania prób logowania oraz zarządzania sesjami mają lukę pozwalającą użytkownikom z uprawnieniami Subskrybenta na usuwanie logów logowania i kończenie sesji innych użytkowników. Luka występuje we wszystkich wersjach do 7.1.1 włącznie.

Wpływ biznesowy

Atakujący z poziomem dostępu Subskrybenta mogą manipulować logami logowania i sesjami użytkowników, co może utrudnić wykrywanie incydentów bezpieczeństwa oraz prowadzić do nieautoryzowanego wylogowania użytkowników. Może to wpłynąć na integralność i dostępność systemu oraz utrudnić zarządzanie bezpieczeństwem środowiska WordPress.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki u dostawcy i ich wdrożenie. W międzyczasie warto ograniczyć dostęp do panelu administracyjnego tylko do zaufanych użytkowników, monitorować logi pod kątem nietypowych działań oraz rozważyć audyt uprawnień użytkowników. Priorytetowo traktuj aktualizacje i weryfikuj konfigurację wtyczek związanych z bezpieczeństwem logowania.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference