CVE-2024-1641: Luka w wtyczce Accordion dla WordPress umożliwiająca nieautoryzowany dostęp do danych

Co wiadomo

Wtyczka Accordion dla WordPress do wersji 2.2.96 posiada lukę pozwalającą użytkownikom z uprawnieniami współpracownika i wyższymi na duplikowanie dowolnych wpisów, w tym chronionych hasłem. Brak odpowiedniej weryfikacji uprawnień w funkcji 'accordions_duplicate_post_as_draft' umożliwia nieautoryzowany dostęp i modyfikację danych.

Wpływ biznesowy

Ta luka może prowadzić do wycieku treści chronionych hasłem oraz nieautoryzowanych modyfikacji wpisów na stronie WordPress, co zagraża poufności i integralności danych. Operatorzy stron korzystających z tej wtyczki powinni traktować tę podatność jako średniego ryzyka, zwłaszcza jeśli mają wielu użytkowników z uprawnieniami współpracownika lub wyższymi.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Accordion i ich wdrożenie. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie funkcji duplikowania wpisów. Regularna weryfikacja i audyt uprawnień użytkowników jest kluczowa.

Źródła

• NVD
• Reference
• Reference
• Reference