Analityczne wykorzystywanie plików cookies
CVE-2024-2544: Luka w wtyczce Popup Builder dla WordPress
Wtyczka Popup Builder dla WordPress ma poważną lukę umożliwiającą nieautoryzowane modyfikacje i ataki XSS. Sprawdź zalecenia bezpieczeństwa.
- CVSS
- 7.4 HIGH
- EPSS
- 19.07%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- popup builder
Co wiadomo
Wtyczka Popup Builder dla WordPress posiada lukę umożliwiającą nieautoryzowaną modyfikację i utratę danych przez brak weryfikacji uprawnień w akcjach AJAX. Atakujący z poziomem subskrybenta lub wyższym mogą wykonywać nieautoryzowane operacje, takie jak usuwanie i importowanie subskrybentów, co może prowadzić do ataków typu stored XSS.
Wpływ biznesowy
Luka stwarza ryzyko nieautoryzowanych zmian w danych użytkowników oraz potencjalnych ataków cross-site scripting, które mogą wpłynąć na integralność i bezpieczeństwo witryny. Operatorzy CMS powinni traktować tę podatność jako poważne zagrożenie, zwłaszcza w środowiskach z wieloma użytkownikami o różnym poziomie dostępu.
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Popup Builder u dostawcy oraz ich wdrożenie. W międzyczasie warto ograniczyć dostęp użytkowników do poziomu subskrybenta i wyżej oraz monitorować logi pod kątem podejrzanych działań związanych z subskrybentami. Priorytetowo należy ocenić ryzyko i wprowadzić dodatkowe zabezpieczenia AJAX.