CVE-2024-6709: luka w wtyczce Sync Post With Other Site umożliwia nieautoryzowaną modyfikację danych

Co wiadomo

Wtyczka Sync Post With Other Site dla WordPressa do wersji 1.6 włącznie posiada lukę polegającą na braku weryfikacji uprawnień w funkcji 'sps_add_update_post'. Pozwala to uwierzytelnionym użytkownikom z poziomem dostępu Subskrybenta lub wyższym na tworzenie i edycję wpisów roboczych.

Wpływ biznesowy

Luka umożliwia atakującym z ograniczonymi uprawnieniami modyfikowanie treści na stronie, co może prowadzić do publikacji nieautoryzowanych informacji lub zakłócenia działania witryny. Operatorzy IT powinni traktować tę podatność poważnie, zwłaszcza w środowiskach z wieloma użytkownikami o różnym poziomie dostępu.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki u dostawcy oraz ich wdrożenie. W międzyczasie warto ograniczyć dostęp użytkowników do poziomu Subskrybenta lub wyższego oraz monitorować logi pod kątem nieautoryzowanych zmian w postach. Priorytetowo należy ocenić ryzyko i wprowadzić odpowiednie środki ograniczające ekspozycję.

Źródła

• NVD
• Reference
• Reference
• Reference