CVE-2024-6410: luka w wtyczce ProfileGrid dla WordPress

Co wiadomo

Wtyczka ProfileGrid dla WordPress do zarządzania profilami użytkowników i społecznościami ma lukę typu Insecure Direct Object Reference w wersjach do 5.8.9 włącznie. Luka pozwala uwierzytelnionym użytkownikom z poziomem subskrybenta lub wyższym na zmianę zdjęcia profilowego dowolnego użytkownika.

Wpływ biznesowy

Luka umożliwia atakującym z podstawowym dostępem do panelu WordPress manipulację zdjęciami profilowymi innych użytkowników, co może prowadzić do naruszenia prywatności i utraty zaufania użytkowników. Może to wpłynąć na reputację serwisu oraz wymagać dodatkowych działań naprawczych i audytów bezpieczeństwa.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki ProfileGrid i ich wdrożenie. W przypadku braku natychmiastowej aktualizacji warto ograniczyć dostęp użytkowników do funkcji zmiany zdjęcia profilowego oraz monitorować logi pod kątem podejrzanych działań. Priorytetowo należy ocenić ryzyko i wdrożyć odpowiednie środki ograniczające ekspozycję.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference