CVE-2024-1650: luka w wtyczce Categorify dla WordPress umożliwiająca nieautoryzowaną zmianę danych

Co wiadomo

Wtyczka Categorify dla WordPress do wersji 1.0.7.4 włącznie posiada lukę polegającą na braku weryfikacji uprawnień w funkcji categorifyAjaxRenameCategory. Pozwala to uwierzytelnionym użytkownikom z poziomem subskrybenta lub wyższym na zmianę nazw kategorii.

Wpływ biznesowy

Ta luka może prowadzić do nieautoryzowanych modyfikacji struktur kategorii na stronach WordPress, co może wpłynąć na organizację i prezentację treści. Dla operatorów IT oznacza to ryzyko manipulacji zawartością witryny przez użytkowników o ograniczonych uprawnieniach, co może skutkować utratą kontroli nad strukturą danych i potencjalnym obniżeniem jakości doświadczenia użytkownika.

Rekomendowane działania administratora

Administratorzy powinni niezwłocznie sprawdzić wersję wtyczki Categorify i zaktualizować ją do najnowszej dostępnej wersji pochodzącej od dostawcy. W przypadku braku dostępnej aktualizacji zaleca się ograniczenie dostępu użytkowników do poziomu subskrybenta oraz monitorowanie logów pod kątem nietypowych zmian nazw kategorii. Warto również przeprowadzić przegląd uprawnień użytkowników i wprowadzić dodatkowe mechanizmy kontroli dostępu.

Źródła

• NVD
• Reference
• Reference