Analityczne wykorzystywanie plików cookies
CVE-2024-2115: Luka CSRF w wtyczce LearnPress dla WordPress
Wtyczka LearnPress do WordPressa ma poważną lukę CSRF umożliwiającą podniesienie uprawnień. Sprawdź zalecenia bezpieczeństwa i aktualizacje.
- CVSS
- 8.8 HIGH
- EPSS
- 19.44%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- learnpress
Co wiadomo
Wtyczka LearnPress do WordPressa jest podatna na atak Cross-Site Request Forgery (CSRF) we wszystkich wersjach do 4.0.0 włącznie. Luka wynika z braku lub błędnej walidacji nonce w funkcji filter_users, co umożliwia nieautoryzowanym atakującym podniesienie uprawnień do roli nauczyciela poprzez spreparowane żądanie.
Wpływ biznesowy
Ta podatność może pozwolić atakującym na uzyskanie wyższych uprawnień na stronie WordPress, co zagraża integralności i bezpieczeństwu platformy edukacyjnej. Może to prowadzić do nieautoryzowanych zmian w treściach i zarządzaniu użytkownikami, co negatywnie wpływa na zaufanie użytkowników i stabilność systemu.
Rekomendowane działania administratora
Administratorzy powinni niezwłocznie sprawdzić dostępność aktualizacji wtyczki LearnPress i zastosować je, jeśli są dostępne. W przypadku braku łatki zaleca się ograniczenie dostępu administratorów do zaufanych osób, monitorowanie logów pod kątem podejrzanych działań oraz edukację użytkowników w zakresie unikania klikania w podejrzane linki. Priorytetowo należy ocenić ryzyko i wdrożyć dodatkowe zabezpieczenia CSRF.