CVE-2024-4274: luka wtyczki Essential Real Estate umożliwiająca nieautoryzowane usuwanie danych

Co wiadomo

Wtyczka Essential Real Estate dla WordPressa do wersji 4.4.2 włącznie posiada lukę umożliwiającą uwierzytelnionym użytkownikom z poziomem subskrybenta lub wyższym usuwanie dowolnych załączników poprzez niewystarczającą walidację funkcji remove_property_attachment_ajax().

Wpływ biznesowy

Ta luka może prowadzić do niezamierzonej utraty danych, co wpływa na integralność i dostępność zasobów serwisu internetowego. Atakujący z podstawowymi uprawnieniami mogą usunąć ważne załączniki, co może zakłócić działanie witryny i wpłynąć na doświadczenie użytkowników oraz reputację firmy.

Rekomendowane działania administratora

Administratorzy powinni jak najszybciej zweryfikować dostępność aktualizacji wtyczki Essential Real Estate i zastosować je, jeśli są dostępne. W przypadku braku łatki zaleca się ograniczenie uprawnień użytkowników do niezbędnego minimum, monitorowanie logów pod kątem podejrzanych działań oraz przegląd i zabezpieczenie załączników w serwisie.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference