CVE-2024-5856: Luka w wtyczce Comment Images Reloaded umożliwia nieautoryzowane usuwanie danych

Co wiadomo

Wtyczka Comment Images Reloaded dla WordPressa do wersji 2.2.1 ma lukę bezpieczeństwa polegającą na braku sprawdzenia uprawnień przy akcji AJAX cir_delete_image. Pozwala to uwierzytelnionym użytkownikom z poziomem Subskrybenta i wyższym na usuwanie dowolnych załączników multimedialnych.

Wpływ biznesowy

Luka może prowadzić do nieautoryzowanego usunięcia ważnych plików multimedialnych, co wpływa na integralność i dostępność treści witryny. Operatorzy IT powinni zwrócić uwagę na potencjalne ryzyko utraty danych oraz możliwość nadużyć przez użytkowników z podstawowymi uprawnieniami.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki i ich zastosowanie. W przypadku braku łatki warto ograniczyć dostęp użytkowników do poziomu Subskrybenta lub wyższego oraz monitorować logi pod kątem nieautoryzowanych działań związanych z usuwaniem mediów. Priorytetowo należy ocenić ekspozycję serwisu i wprowadzić odpowiednie środki zapobiegawcze.

Źródła

• NVD
• Reference
• Reference