CVE-2024-13801: BWL Advanced FAQ Manager dla WordPress umożliwia nieautoryzowaną modyfikację danych

Co wiadomo

Wtyczka BWL Advanced FAQ Manager do WordPressa do wersji 2.1.4 zawiera lukę pozwalającą na nieautoryzowaną modyfikację danych przez użytkowników z poziomem Subskrybenta i wyższym. Luka ta może prowadzić do błędów na stronie i odmowy usługi (DoS).

Wpływ biznesowy

Atakujący z dostępem na poziomie Subskrybenta mogą zmieniać wartości opcji w witrynie, co może wywołać błędy i uniemożliwić dostęp prawdziwym użytkownikom. Może to skutkować przerwami w działaniu serwisu oraz potencjalnym wpływem na rejestrację i inne funkcje witryny. Wysoki poziom zagrożenia wymaga szybkiej reakcji ze strony administratorów.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki BWL Advanced FAQ Manager i ich wdrożenie. W międzyczasie warto ograniczyć dostęp użytkowników do poziomu Subskrybenta oraz monitorować logi pod kątem podejrzanych działań związanych z akcją AJAX 'baf_set_notice_status'. Wdrożenie zasad minimalnych uprawnień i przegląd konfiguracji zabezpieczeń jest wskazane.

Źródła

• NVD
• Reference
• Reference