CVE-2024-3664: Luka w wtyczce Quick Featured Images dla WordPress umożliwia nieautoryzowaną modyfikację miniatur

Co wiadomo

Wtyczka Quick Featured Images dla WordPress do wersji 13.7.0 ma lukę polegającą na braku sprawdzenia uprawnień w funkcjach set_thumbnail i delete_thumbnail. Pozwala to użytkownikom z uprawnieniami co najmniej na poziomie współautora na usuwanie i dodawanie miniatur do postów, których nie są autorami.

Wpływ biznesowy

Ta luka może prowadzić do nieautoryzowanych zmian wizualnych w treściach publikowanych na stronach WordPress, co może wpłynąć na wizerunek firmy i zaufanie użytkowników. Administratorzy stron powinni zwrócić uwagę na potencjalne nadużycia przez użytkowników z uprawnieniami współautora i wyższymi, które mogą skutkować manipulacją zawartością wizualną bez odpowiedniej autoryzacji.

Rekomendowane działania administratora

Zaleca się jak najszybszą aktualizację wtyczki Quick Featured Images do najnowszej wersji udostępnionej przez producenta. W międzyczasie warto ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi aktywności pod kątem nieautoryzowanych zmian miniatur oraz przeprowadzić przegląd i audyt kont użytkowników z uprawnieniami współautora i wyższymi.

Źródła

• NVD
• Reference
• Reference