Luka wtyczki WP Scraper dla WordPress umożliwia nieautoryzowane tworzenie treści

Co wiadomo

Wtyczka WP Scraper dla WordPress do wersji 5.7 włącznie posiada lukę pozwalającą użytkownikom z uprawnieniami subskrybenta i wyższymi na tworzenie dowolnych stron i wpisów bez odpowiedniej weryfikacji uprawnień. Luka wynika z braku kontroli zdolności w funkcji wp_scraper_multi_scrape_action().

Wpływ biznesowy

Atakujący z dostępem na poziomie subskrybenta mogą wykorzystać tę lukę do publikowania nieautoryzowanych treści, co może prowadzić do naruszenia integralności witryny, obniżenia zaufania użytkowników oraz potencjalnych problemów z SEO. Wdrożenie odpowiednich środków zabezpieczających jest kluczowe dla ochrony zawartości i reputacji serwisu.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki WP Scraper i ich wdrożenie. W przypadku braku łatki należy ograniczyć dostęp użytkowników do poziomu subskrybenta lub wyższego oraz monitorować logi pod kątem nietypowej aktywności związanej z tworzeniem treści. Warto również przeprowadzić przegląd uprawnień użytkowników i ograniczyć je do niezbędnego minimum.

Źródła

• NVD
• Reference
• Reference
• Reference