CVE-2024-6698: luka eskalacji uprawnień w wtyczce FundEngine dla WordPress

Co wiadomo

Wtyczka FundEngine dla WordPress w wersjach do 1.7.0 włącznie posiada lukę umożliwiającą eskalację uprawnień. Atakujący z poziomem subskrybenta lub wyższym mogą zmodyfikować swoje metadane użytkownika, co pozwala na uzyskanie dostępu administratora.

Wpływ biznesowy

Luka ta stanowi poważne zagrożenie dla właścicieli stron opartych na WordPress z zainstalowaną wtyczką FundEngine, ponieważ umożliwia nieautoryzowany dostęp na poziomie administratora. Może to prowadzić do przejęcia kontroli nad witryną, modyfikacji treści lub instalacji złośliwego oprogramowania, co negatywnie wpływa na bezpieczeństwo i reputację firmy.

Rekomendowane działania administratora

Administratorzy powinni niezwłocznie zweryfikować wersję wtyczki FundEngine i zaktualizować ją do najnowszej dostępnej wersji po jej wydaniu przez producenta. W międzyczasie zaleca się ograniczenie dostępu użytkowników do niezbędnego minimum, przegląd logów pod kątem podejrzanych aktywności oraz monitorowanie uprawnień użytkowników. Warto również rozważyć tymczasowe wyłączenie wtyczki, jeśli to możliwe.

Źródła

• NVD
• Reference
• Reference