CVE-2024-3750: Luka w wtyczce Visualizer dla WordPress umożliwiająca nieautoryzowane modyfikacje danych

Co wiadomo

Wtyczka Visualizer: Tables and Charts Manager dla WordPress do wersji 3.10.15 zawiera lukę umożliwiającą uwierzytelnionym użytkownikom z poziomem subskrybenta lub wyższym wykonywanie dowolnych zapytań SQL. Brak odpowiedniej kontroli uprawnień w funkcji getQueryData() pozwala na nieautoryzowaną modyfikację i odczyt danych.

Wpływ biznesowy

Luka ta stwarza ryzyko eskalacji uprawnień oraz potencjalnego naruszenia integralności i poufności danych w systemach korzystających z tej wtyczki. Atakujący mogą wykorzystać ją do uzyskania dostępu do informacji lub przejęcia kontroli nad aplikacją, co może prowadzić do poważnych konsekwencji biznesowych i operacyjnych.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Visualizer i jej instalację, jeśli jest dostępna. W przypadku braku łatki należy ograniczyć dostęp do panelu WordPress do zaufanych użytkowników, monitorować logi pod kątem podejrzanych zapytań SQL oraz rozważyć tymczasowe wyłączenie wtyczki. Priorytetowo traktuj ocenę ryzyka i wdrożenie środków zapobiegawczych.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference