CVE-2024-13637: Luka w wtyczce Demo Awesome dla WordPress umożliwiająca nieautoryzowaną modyfikację danych

Co wiadomo

Wtyczka Demo Awesome dla WordPress do wersji 1.0.3 włącznie posiada lukę polegającą na braku weryfikacji uprawnień w funkcji install_plugin. Pozwala to uwierzytelnionym użytkownikom z poziomem Subskrybenta lub wyższym na instalację i aktywację dowolnych wtyczek.

Wpływ biznesowy

Atakujący z dostępem na poziomie Subskrybenta mogą wykorzystać tę lukę do instalacji i aktywacji własnych wtyczek, co może prowadzić do eskalacji uprawnień, modyfikacji zawartości strony lub innych działań zagrażających bezpieczeństwu i integralności witryny WordPress. Wpływa to na stabilność i bezpieczeństwo środowiska webowego, szczególnie w organizacjach korzystających z tej wtyczki.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Demo Awesome u jej dostawcy oraz ich wdrożenie. W międzyczasie warto ograniczyć liczbę użytkowników z uprawnieniami Subskrybenta i wyższymi oraz monitorować logi systemowe pod kątem nietypowej aktywności instalacji wtyczek. Priorytetowo traktuj przegląd uprawnień użytkowników i audyt środowiska WordPress.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference