CVE-2024-2346: luka w wtyczce FileBird dla WordPress

Co wiadomo

Wtyczka FileBird – WordPress Media Library Folders & File Manager do wersji 5.6.3 włącznie zawiera lukę typu Insecure Direct Object Reference, umożliwiającą uwierzytelnionym użytkownikom z uprawnieniami autora lub wyższymi usuwanie folderów innych użytkowników i dostęp do ich plików. Luka wynika z braku odpowiedniej walidacji klucza kontrolowanego przez użytkownika.

Wpływ biznesowy

Atakujący z uprawnieniami autora lub wyższymi mogą usuwać foldery innych użytkowników i przeglądać ich przesłane pliki, co może prowadzić do nieautoryzowanego dostępu do danych i zakłócenia organizacji zasobów w bibliotece mediów WordPress. Może to wpłynąć na integralność i poufność danych w środowisku CMS, szczególnie w zespołach współpracujących nad treściami.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki FileBird u dostawcy ninjateam i jej wdrożenie. W międzyczasie warto ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem nietypowych działań związanych z usuwaniem folderów oraz rozważyć dodatkowe mechanizmy kontroli dostępu do zasobów w WordPress.

Źródła

• NVD
• Reference
• Reference