CVE-2024-6631: podatność w wtyczce imagerecycle pdf & image compression dla WordPress

Co wiadomo

Wtyczka imagerecycle pdf & image compression dla WordPress do wersji 3.1.14 włącznie posiada lukę pozwalającą na nieautoryzowaną modyfikację danych przez brak odpowiedniej weryfikacji uprawnień w kilku akcjach AJAX. Atakujący z poziomem dostępu Subskrybenta lub wyższym mogą zmieniać ustawienia wtyczki bez odpowiednich uprawnień.

Wpływ biznesowy

Luka umożliwia użytkownikom z ograniczonymi uprawnieniami (np. Subskrybentom) wykonywanie działań, które powinny być zarezerwowane dla administratorów, co może prowadzić do nieautoryzowanych zmian konfiguracji wtyczki. Może to wpłynąć na stabilność i bezpieczeństwo środowiska WordPress, zwłaszcza w przypadku złośliwych użytkowników posiadających konto na stronie.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki u dostawcy oraz jej instalację. W międzyczasie warto ograniczyć dostęp do kont o niskich uprawnieniach, monitorować logi pod kątem podejrzanych działań oraz rozważyć tymczasowe wyłączenie wtyczki, jeśli to możliwe. Priorytetowo traktuj aktualizacje i audyt uprawnień użytkowników.

Źródła

• NVD
• Reference
• Reference