CVE-2024-1716: Luka w wtyczce Admin Bar Remover dla WordPress umożliwia nieautoryzowaną modyfikację danych

Co wiadomo

Wtyczka Admin Bar Remover dla WordPress do wersji 1.0.2.2 ma lukę polegającą na braku sprawdzenia uprawnień w funkcji update_form(), co pozwala użytkownikom z dostępem na poziomie subskrybenta i wyższym na włączanie lub wyłączanie paska administracyjnego na stronie frontowej.

Wpływ biznesowy

Luka może prowadzić do nieautoryzowanych zmian w interfejsie użytkownika witryny, co może wpłynąć na doświadczenie użytkowników i potencjalnie ułatwić dalsze ataki. Administratorzy stron korzystających z tej wtyczki powinni traktować tę podatność jako istotną, zwłaszcza w środowiskach z wieloma użytkownikami o różnym poziomie dostępu.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Admin Bar Remover u jej dostawcy. W międzyczasie warto ograniczyć dostęp użytkowników do poziomu subskrybenta lub wyższego oraz monitorować logi pod kątem nieautoryzowanych zmian paska administracyjnego. Wdrożenie zasad minimalnych uprawnień i regularne przeglądy bezpieczeństwa są również wskazane.

Źródła

• NVD
• Reference
• Reference
• Reference