Analityczne wykorzystywanie plików cookies
CVE-2024-3206: Nieautoryzowany dostęp w wtyczce WordPress 'Different Menu in Different Pages'
Luka w wtyczce WordPress umożliwia uwierzytelnionym użytkownikom duplikowanie menu. Zalecane aktualizacje i monitorowanie dostępu.
- CVSS
- 4.3 MEDIUM
- EPSS
- 43.22%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- -
Co wiadomo
Wtyczka 'Different Menu in Different Pages – Control Menu Visibility (All in One)' dla WordPressa do wersji 2.3.2 posiada lukę umożliwiającą uwierzytelnionym użytkownikom z poziomem subskrybenta lub wyższym nieautoryzowane duplikowanie menu. Problem wynika z braku odpowiedniej weryfikacji uprawnień w funkcji ajax().
Wpływ biznesowy
Luka może prowadzić do niezamierzonej modyfikacji struktury menu na stronie, co może wpłynąć na doświadczenie użytkowników oraz potencjalnie umożliwić dalsze nadużycia w obrębie witryny. Operatorzy powinni traktować tę podatność jako średniego ryzyka, zwłaszcza w środowiskach z wieloma użytkownikami o różnym poziomie dostępu.
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki u jej dostawcy i ich wdrożenie. W międzyczasie warto ograniczyć dostęp do panelu administracyjnego tylko do zaufanych użytkowników, monitorować logi pod kątem nietypowych działań związanych z menu oraz przeprowadzić przegląd uprawnień użytkowników.