CVE-2024-1870: luka w wtyczce Colibri Page Builder umożliwiająca nieautoryzowaną modyfikację danych

Co wiadomo

Wtyczka Colibri Page Builder dla WordPressa do wersji 1.0.260 włącznie zawiera lukę pozwalającą na nieautoryzowaną modyfikację danych poprzez brak weryfikacji uprawnień w funkcji callActivateLicenseEndpoint. Atakujący z poziomem subskrybenta lub wyższym mogą zaktualizować klucz licencyjny.

Wpływ biznesowy

Luka umożliwia osobom z ograniczonym dostępem (subskrybent lub wyżej) zmianę klucza licencyjnego wtyczki, co może prowadzić do nieautoryzowanego wykorzystania licencji i potencjalnych problemów z legalnością oprogramowania. Może to wpłynąć na zarządzanie licencjami i stabilność środowiska WordPress, zwłaszcza w firmach korzystających z tej wtyczki.

Rekomendowane działania administratora

Administratorzy powinni niezwłocznie sprawdzić dostępność aktualizacji wtyczki Colibri Page Builder u dostawcy i zastosować je, jeśli są dostępne. W międzyczasie zaleca się ograniczenie dostępu do kont z uprawnieniami subskrybenta lub wyższymi oraz monitorowanie logów pod kątem nieautoryzowanych zmian klucza licencyjnego. Warto również przeprowadzić przegląd uprawnień użytkowników i wprowadzić polityki minimalnego dostępu.

Źródła

• NVD
• Reference
• Reference
• Reference