CVE-2024-2222: Luka w wtyczce Advanced Classifieds & Directory Pro umożliwiająca nieautoryzowane usuwanie danych

Co wiadomo

Wtyczka Advanced Classifieds & Directory Pro dla WordPressa do wersji 3.0.0 ma lukę polegającą na braku sprawdzenia uprawnień w funkcji ajax_callback_delete_attachment. Pozwala to uwierzytelnionym użytkownikom z dostępem subskrybenta lub wyższym na usuwanie dowolnych przesłanych mediów.

Wpływ biznesowy

Luka może prowadzić do nieautoryzowanego usunięcia ważnych plików multimedialnych, co wpływa na integralność i dostępność treści serwisu. Operatorzy IT powinni traktować tę podatność jako średniego ryzyka, zwłaszcza w środowiskach z wieloma użytkownikami o różnym poziomie dostępu.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki u dostawcy oraz ich wdrożenie. W międzyczasie warto ograniczyć uprawnienia użytkowników oraz monitorować logi pod kątem podejrzanych działań związanych z usuwaniem plików.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference