CVE-2024-6883: podatność w wtyczce Event Espresso dla WordPress

Co wiadomo

Wtyczka Event Espresso 4 Decaf do rejestracji i sprzedaży biletów na WordPress ma lukę umożliwiającą nieautoryzowaną modyfikację ustawień przez użytkowników z uprawnieniami subskrybenta i wyższymi. Problem dotyczy braku odpowiedniej weryfikacji uprawnień w funkcjach takich jak saveTimezoneString we wszystkich wersjach do 4.10.46.decaf włącznie.

Wpływ biznesowy

Atakujący z kontem subskrybenta lub wyższym mogą zmieniać niektóre ustawienia wtyczki, co może prowadzić do niezamierzonych zmian w konfiguracji systemu rejestracji wydarzeń. Może to wpłynąć na działanie strony i zaufanie użytkowników, zwłaszcza w środowiskach korzystających z tej wtyczki do zarządzania wydarzeniami.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Event Espresso i ich wdrożenie. W przypadku braku natychmiastowej aktualizacji warto ograniczyć dostęp użytkowników do poziomu subskrybenta oraz monitorować logi pod kątem nieautoryzowanych zmian w ustawieniach wtyczki. Priorytetem jest minimalizacja ryzyka poprzez kontrolę uprawnień i regularne przeglądy bezpieczeństwa.

Źródła

• NVD
• Reference
• Reference