Analityczne wykorzystywanie plików cookies
CVE-2024-4445: luka w wtyczce WP Compress umożliwiająca nieautoryzowaną modyfikację danych
Wtyczka WP Compress dla WordPressa ma lukę umożliwiającą ataki XSS i modyfikację ustawień przez subskrybentów. Sprawdź zalecenia bezpieczeństwa.
- CVSS
- 6.5 MEDIUM
- EPSS
- 26.77%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- wp compress
Co wiadomo
Wtyczka WP Compress – Image Optimizer [All-In-One] dla WordPressa w wersjach do 6.20.01 ma lukę polegającą na braku sprawdzenia uprawnień w kilku funkcjach. Pozwala to uwierzytelnionym użytkownikom z uprawnieniami subskrybenta i wyższymi na modyfikację ustawień wtyczki, w tym na wstrzyknięcie cross-site scripting w środowiskach multisite.
Wpływ biznesowy
Luka ta może prowadzić do nieautoryzowanych zmian konfiguracji wtyczki, co w środowiskach multisite może skutkować atakami XSS i potencjalnym przejęciem kontroli nad witryną. Operatorzy IT powinni traktować tę podatność jako średniego ryzyka, zwłaszcza w przypadku instalacji WordPressa z wieloma witrynami i użytkownikami o różnych poziomach uprawnień.
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki WP Compress u dostawcy oraz ich wdrożenie. Do czasu aktualizacji warto ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem nietypowych zmian konfiguracji oraz rozważyć tymczasowe wyłączenie wtyczki w środowiskach multisite.