CVE-2024-13810: Nieautoryzowany dostęp w motywie Zass WooCommerce dla WordPress

Co wiadomo

Motyw Zass WooCommerce dla WordPress do wersji 3.9.9.10 posiada lukę umożliwiającą nieautoryzowany dostęp poprzez brak sprawdzenia uprawnień w akcjach AJAX 'zass_import_zass'. Atakujący z poziomem subskrybenta lub wyższym mogą importować zawartość demo i nadpisywać stronę.

Wpływ biznesowy

Luka pozwala na potencjalne przejęcie kontroli nad zawartością strony przez użytkowników z ograniczonymi uprawnieniami, co może prowadzić do utraty integralności danych i zakłócenia działania witryny. Operatorzy stron opartych na tym motywie powinni traktować tę podatność jako istotne zagrożenie dla bezpieczeństwa CMS.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji motywu u dostawcy i ich wdrożenie. W międzyczasie warto ograniczyć dostęp użytkowników do poziomu subskrybenta oraz monitorować logi serwera pod kątem podejrzanych działań związanych z importem treści. Priorytetem jest minimalizacja ryzyka poprzez kontrolę uprawnień i szybkie reagowanie na incydenty.

Źródła

• NVD
• Reference
• Reference