Analityczne wykorzystywanie plików cookies
CVE-2024-5641: podatność na nieautoryzowaną modyfikację ustawień w wtyczce One Click Order Re-Order
Podatność CVE-2024-5641 pozwala użytkownikom subskrybenta na zmianę ustawień wtyczki One Click Order Re-Order, narażając WordPress na ataki XSS.
- CVSS
- 6.4 MEDIUM
- EPSS
- 22.31%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- one click order re-order
Co wiadomo
Wtyczka One Click Order Re-Order dla WordPressa do wersji 1.1.9 ma lukę umożliwiającą użytkownikom z uprawnieniami subskrybenta i wyższymi nieautoryzowaną zmianę ustawień wtyczki, w tym wprowadzenie złośliwego kodu XSS. Problem wynika z braku odpowiedniej weryfikacji uprawnień w funkcji 'ced_ocor_save_general_setting'.
Wpływ biznesowy
Atakujący z dostępem na poziomie subskrybenta mogą zmieniać konfigurację wtyczki, co może prowadzić do wprowadzenia złośliwego kodu i potencjalnego przejęcia kontroli nad stroną lub wycieku danych. Dla operatorów IT oznacza to ryzyko naruszenia integralności i bezpieczeństwa witryny opartej na WordPress, szczególnie jeśli wtyczka jest aktywnie używana.
Rekomendowane działania administratora
Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki u dostawcy oraz ich wdrożenie. W międzyczasie warto ograniczyć dostęp użytkowników do poziomu subskrybenta oraz monitorować logi pod kątem nietypowych zmian konfiguracji. Wdrożenie dodatkowych mechanizmów kontroli dostępu i skanowanie pod kątem XSS może pomóc w minimalizacji ryzyka.