Analityczne wykorzystywanie plików cookies
CVE-2024-1945: Luka w wtyczce ARForms Form Builder dla WordPress umożliwia nieautoryzowane usuwanie danych
Wtyczka ARForms do WordPress ma lukę pozwalającą subskrybentom usuwać dane witryny. Sprawdź zalecenia bezpieczeństwa i aktualizacje.
- CVSS
- 7.1 HIGH
- EPSS
- 35.05%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- -
Co wiadomo
Wtyczka ARForms Form Builder dla WordPress do wersji 1.6.4 zawiera lukę pozwalającą uwierzytelnionym użytkownikom z uprawnieniami subskrybenta i wyższymi na usuwanie dowolnych opcji witryny poprzez brak odpowiedniej kontroli uprawnień w funkcji 'arflite_remove_preview_data'.
Wpływ biznesowy
Atakujący mogą spowodować utratę dostępności witryny poprzez usunięcie kluczowych opcji konfiguracyjnych, co może prowadzić do przerw w działaniu usług i negatywnie wpłynąć na reputację firmy. Wdrożenie tej wtyczki w środowisku produkcyjnym bez odpowiednich zabezpieczeń zwiększa ryzyko poważnych zakłóceń operacyjnych.
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki ARForms Form Builder i ich wdrożenie. W międzyczasie ogranicz dostęp użytkowników do minimum niezbędnego oraz monitoruj logi pod kątem podejrzanych działań związanych z usuwaniem opcji. Warto również rozważyć audyt uprawnień użytkowników i wprowadzenie dodatkowych mechanizmów kontroli dostępu.