CVE-2024-4873: Luka w wtyczce Replace Image dla WordPress umożliwiająca nieautoryzowaną zamianę obrazów

Co wiadomo

Wtyczka Replace Image dla WordPress do wersji 1.1.10 ma lukę typu Insecure Direct Object Reference w funkcji zamiany obrazów, wynikającą z braku walidacji klucza kontrolowanego przez użytkownika. Pozwala to uwierzytelnionym użytkownikom z uprawnieniami autora i wyższymi na podmianę obrazów przesłanych przez użytkowników o wyższych uprawnieniach, np. administratorów.

Wpływ biznesowy

Ta luka może prowadzić do nieautoryzowanej modyfikacji zawartości witryny poprzez podmianę obrazów przesłanych przez administratorów, co może wpłynąć na wiarygodność i bezpieczeństwo serwisu. Operatorzy IT powinni zwrócić uwagę na potencjalne ryzyko eskalacji uprawnień i manipulacji treścią w środowiskach WordPress korzystających z tej wtyczki.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Replace Image i jej instalację. W przypadku braku łatki należy ograniczyć dostęp do funkcji zamiany obrazów do zaufanych użytkowników oraz monitorować logi pod kątem podejrzanych działań. Warto również przeprowadzić przegląd uprawnień użytkowników w systemie WordPress i ograniczyć je do niezbędnego minimum.

Źródła

• NVD
• Reference
• Reference
• Reference