Analityczne wykorzystywanie plików cookies
Luka wtyczki User Profile Picture dla WordPress umożliwia zmianę zdjęcia profilowego innych użytkowników
Luka CVE-2024-5639 w wtyczce User Profile Picture WordPress pozwala użytkownikom z uprawnieniami autora zmieniać zdjęcia profilowe innych. Sprawdź zalecenia.
- CVSS
- 4.3 MEDIUM
- EPSS
- 33.52%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- user profile picture
Co wiadomo
Wtyczka User Profile Picture dla WordPress do wersji 2.6.1 zawiera lukę typu Insecure Direct Object Reference w funkcji rest_api_change_profile_image, która nie weryfikuje poprawnie klucza kontrolowanego przez użytkownika. Pozwala to uwierzytelnionym użytkownikom z uprawnieniami co najmniej autora na zmianę zdjęcia profilowego dowolnego użytkownika.
Wpływ biznesowy
Atakujący z uprawnieniami autora lub wyższymi mogą zmienić zdjęcie profilowe innych użytkowników, co może prowadzić do dezinformacji, naruszenia wizerunku lub osłabienia zaufania w organizacji. Luka ta nie umożliwia jednak przejęcia konta, ale może być wykorzystana do działań socjotechnicznych lub eskalacji ataków. Warto zwrócić uwagę na tę podatność w środowiskach WordPress korzystających z tej wtyczki.
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki User Profile Picture u dostawcy cozmoslabs i jej wdrożenie. W międzyczasie warto ograniczyć uprawnienia użytkowników do minimum niezbędnego do pracy oraz monitorować logi pod kątem nieautoryzowanych zmian zdjęć profilowych. W przypadku braku łatki należy rozważyć tymczasowe wyłączenie wtyczki lub ograniczenie dostępu do funkcji REST API związanej z profilem użytkownika.