CVE-2024-6491: luka w wtyczce Getwid umożliwiająca nieautoryzowaną modyfikację danych

Co wiadomo

Wtyczka Getwid – Gutenberg Blocks dla WordPressa posiada lukę pozwalającą na nieautoryzowaną zmianę klucza API MailChimp przez użytkowników z uprawnieniami co najmniej na poziomie Współpracownika. Problem dotyczy wszystkich wersji do 2.0.10 włącznie, wynikając z braku odpowiedniej weryfikacji uprawnień w funkcji mailchimp_api_key_manage.

Wpływ biznesowy

Luka umożliwia atakującym z dostępem na poziomie Współpracownika lub wyższym modyfikację klucza API MailChimp, co może prowadzić do nieautoryzowanego dostępu do usług marketingowych i potencjalnego wycieku danych. Dla operatorów IT i właścicieli infrastruktury oznacza to konieczność szybkiej oceny ryzyka i wdrożenia środków zaradczych, aby zapobiec nadużyciom i utracie zaufania użytkowników.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Getwid i jej instalację, jeśli jest dostępna. W przypadku braku łatki należy ograniczyć dostęp użytkowników do poziomu niższego niż Współpracownik lub monitorować i analizować logi pod kątem nieautoryzowanych zmian klucza API MailChimp. Warto również przeprowadzić przegląd uprawnień użytkowników i wprowadzić polityki minimalnych uprawnień.

Źródła

• NVD
• Reference
• Reference
• Reference