CVE-2024-2797: MailerLite – Signup forms (official) narażony na nieautoryzowane zmiany ustawień wtyczki

Co wiadomo

Wtyczka MailerLite – Signup forms (official) dla WordPress do wersji 1.7.6 ma lukę pozwalającą nieautoryzowanym atakującym na modyfikację ustawień wtyczki poprzez brak kontroli uprawnień w funkcjach toggleRolesAndPermissions oraz editAllowedRolesAndPermissions. Atakujący mogą umożliwić użytkownikom o niższych uprawnieniach edycję formularzy.

Wpływ biznesowy

Luka może prowadzić do nieautoryzowanych zmian w formularzach zapisu, co może skutkować manipulacją danymi użytkowników lub obniżeniem bezpieczeństwa witryny. Operatorzy IT powinni zwrócić uwagę na potencjalne ryzyko eskalacji uprawnień i wpływ na integralność danych oraz reputację firmy.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki u dostawcy oraz ich wdrożenie. W międzyczasie warto ograniczyć dostęp do panelu administracyjnego, monitorować logi pod kątem podejrzanych działań oraz weryfikować uprawnienia użytkowników. Priorytetowo traktuj audyt i zabezpieczenie środowiska WordPress.

Źródła

• NVD
• Reference
• Reference
• Reference