CVE-2024-3936: Nieautoryzowana modyfikacja ustawień w wtyczce The Post Grid dla WordPress

Co wiadomo

Wtyczka The Post Grid – Shortcode, Gutenberg Blocks and Elementor Addon for Post Grid dla WordPress do wersji 7.6.1 ma lukę umożliwiającą uwierzytelnionym użytkownikom z uprawnieniami subskrybenta lub wyższymi modyfikację ustawień wtyczki bez odpowiedniej weryfikacji uprawnień. Luka ta pozwala także na wywoływanie innych funkcji powiązanych z akcjami AJAX.

Wpływ biznesowy

Atakujący z dostępem subskrybenta mogą zmieniać konfigurację wtyczki, co może prowadzić do nieautoryzowanych zmian w działaniu serwisu WordPress. Może to wpłynąć na stabilność i bezpieczeństwo witryny, a także umożliwić dalsze ataki poprzez manipulację funkcjami AJAX. Operatorzy powinni traktować tę lukę jako średniego ryzyka, zwłaszcza w środowiskach z wieloma użytkownikami o różnym poziomie dostępu.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki The Post Grid i ich wdrożenie. W przypadku braku łatki należy ograniczyć dostęp użytkowników do poziomu subskrybenta lub wyższego oraz monitorować logi pod kątem nietypowych działań związanych z ustawieniami wtyczki i wywołaniami AJAX. Warto również rozważyć tymczasowe wyłączenie wtyczki, jeśli nie jest niezbędna.

Źródła

• NVD
• Reference
• Reference
• Reference