CVE-2024-13687: podatność w wtyczce Team Builder dla WordPress

Co wiadomo

Wtyczka Team Builder – Meet the Team dla WordPress posiada lukę umożliwiającą nieautoryzowaną modyfikację danych z powodu braku sprawdzenia uprawnień w funkcji save_team_builder_options() we wszystkich wersjach do 1.3 włącznie. Atakujący z poziomem dostępu Subskrybenta lub wyższym mogą zmieniać ustawienia wtyczki.

Wpływ biznesowy

Luka pozwala na nieautoryzowaną zmianę konfiguracji wtyczki przez użytkowników z podstawowymi uprawnieniami, co może prowadzić do niezamierzonych zmian w działaniu witryny WordPress. Może to wpłynąć na stabilność i bezpieczeństwo serwisu, zwłaszcza jeśli zmiany w konfiguracji są wykorzystywane do dalszych ataków lub zakłóceń.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Team Builder u dostawcy oraz ich wdrożenie. W międzyczasie warto ograniczyć dostęp użytkowników do poziomu Subskrybenta lub wyższego oraz monitorować logi pod kątem nieautoryzowanych zmian konfiguracji. Priorytetowo traktuj aktualizacje zabezpieczeń i rozważ audyt uprawnień użytkowników.

Źródła

• NVD
• Reference
• Reference