CVE-2024-5993: Luka wtyczki Cliengo – Chatbot dla WordPress umożliwiająca nieautoryzowaną modyfikację danych

Co wiadomo

Wtyczka Cliengo – Chatbot dla WordPress do wersji 3.0.2 włącznie posiada lukę pozwalającą na modyfikację tokenu sesji chatbota przez użytkowników z uprawnieniami na poziomie Subskrybenta i wyższymi, z powodu braku odpowiedniej weryfikacji uprawnień w funkcji 'update_session'.

Wpływ biznesowy

Atakujący z dostępem na poziomie Subskrybenta mogą zmieniać token sesji chatbota, co może prowadzić do nieautoryzowanych działań w obrębie wtyczki i potencjalnie wpływać na interakcje z użytkownikami strony. Może to skutkować naruszeniem integralności danych i obniżeniem zaufania do usług oferowanych przez stronę internetową.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Cliengo – Chatbot i ich wdrożenie. W przypadku braku aktualizacji warto ograniczyć dostęp użytkowników do poziomu Subskrybenta lub wyższego oraz monitorować logi pod kątem podejrzanych zmian sesji. Należy również rozważyć przegląd uprawnień użytkowników i wprowadzenie dodatkowych mechanizmów kontroli dostępu.

Źródła

• NVD
• Reference
• Reference
• Reference