Analityczne wykorzystywanie plików cookies
CVE-2024-2298: luka w wtyczce affiliate-toolkit dla WordPress
Luka w affiliate-toolkit WordPress pozwala na nieautoryzowany import produktów przez użytkowników z poziomem subskrybenta. Zalecana aktualizacja wtyczki.
- CVSS
- 4.3 MEDIUM
- EPSS
- 24.76%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- affiliate-toolkit
Co wiadomo
Wtyczka affiliate-toolkit dla WordPress do wersji 3.5.4 ma lukę umożliwiającą nieautoryzowany dostęp przez brak sprawdzenia uprawnień w funkcji atkp_import_product(). Atakujący z poziomem subskrybenta lub wyższym mogą importować produkty bez odpowiednich uprawnień.
Wpływ biznesowy
Luka pozwala na nieautoryzowane działania w systemie WordPress, co może prowadzić do niepożądanego importu produktów i potencjalnego naruszenia integralności danych. Operatorzy stron korzystających z tej wtyczki powinni traktować to zagrożenie poważnie, zwłaszcza w środowiskach z wieloma użytkownikami o różnym poziomie dostępu.
Rekomendowane działania administratora
Zaleca się jak najszybszą aktualizację wtyczki affiliate-toolkit do wersji po 3.5.4, w której luka została załatana. W przypadku braku możliwości natychmiastowej aktualizacji warto ograniczyć dostęp użytkowników do poziomu subskrybenta oraz monitorować logi pod kątem podejrzanych działań związanych z importem produktów. Przegląd uprawnień użytkowników i minimalizacja ryzyka są kluczowe.