CVE-2024-13541: luka w wtyczce aDirectory dla WordPress umożliwiająca nieautoryzowane usuwanie danych

Co wiadomo

Wtyczka aDirectory – WordPress Directory Listing Plugin jest podatna na nieautoryzowaną utratę danych z powodu braku sprawdzenia uprawnień w funkcji adqs_delete_listing() we wszystkich wersjach do 2.3 włącznie. Umożliwia to uwierzytelnionym użytkownikom z poziomem Subskrybenta lub wyższym usuwanie dowolnych wpisów.

Wpływ biznesowy

Ta luka może prowadzić do niezamierzonego usunięcia ważnych treści na stronie internetowej, co wpływa na integralność danych i może zakłócić działanie witryny. Operatorzy IT i właściciele infrastruktury powinni zwrócić uwagę na potencjalne ryzyko utraty danych oraz możliwe skutki dla reputacji i dostępności usług.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki aDirectory i ich wdrożenie. W międzyczasie warto ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem nieautoryzowanych działań oraz przeprowadzić przegląd i priorytetyzację ryzyka związanego z tą podatnością.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference