CVE-2024-8552: luka w wtyczce Download Monitor umożliwiająca nieautoryzowaną modyfikację danych

Co wiadomo

Wtyczka Download Monitor dla WordPressa posiada lukę polegającą na braku weryfikacji uprawnień w funkcji enable_shop() we wszystkich wersjach do 5.0.9 włącznie. Pozwala to uwierzytelnionym użytkownikom z poziomem Subskrybenta lub wyższym na aktywację funkcji sklepu bez odpowiednich uprawnień.

Wpływ biznesowy

Atakujący z kontem o niskim poziomie uprawnień mogą nieautoryzowanie włączyć funkcje sklepu, co może prowadzić do niezamierzonych zmian w konfiguracji witryny i potencjalnych problemów z integralnością danych. Dla operatorów IT oznacza to konieczność zweryfikowania uprawnień użytkowników oraz monitorowania nietypowych działań w panelu WordPress.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Download Monitor i jej instalację. W międzyczasie warto ograniczyć dostęp użytkowników do poziomu Subskrybenta i wyższego oraz monitorować logi pod kątem nieautoryzowanych zmian funkcji sklepu. Przegląd uprawnień użytkowników i audyt konfiguracji wtyczki również są wskazane.

Źródła

• NVD
• Reference
• Reference
• Reference