CVE-2024-8632: luka w wtyczce KB Support dla WordPress umożliwia nieautoryzowany dostęp

Co wiadomo

Wtyczka KB Support – WordPress Help Desk and Knowledge Base do WordPressa zawiera lukę pozwalającą na nieautoryzowany dostęp i modyfikację danych poprzez brak sprawdzenia uprawnień w funkcjach 'kbs_ajax_load_front_end_replies' oraz 'kbs_ajax_mark_reply_as_read' w wersjach do 1.6.6 włącznie. Atakujący bez uwierzytelnienia mogą odczytywać odpowiedzi na dowolne zgłoszenia oraz oznaczać je jako przeczytane.

Wpływ biznesowy

Luka ta może prowadzić do wycieku poufnych informacji zawartych w zgłoszeniach obsługiwanych przez wtyczkę oraz do manipulacji stanem zgłoszeń, co wpływa na integralność i poufność danych. Operatorzy IT korzystający z tej wtyczki powinni traktować tę podatność jako istotne zagrożenie dla bezpieczeństwa systemu obsługi klienta i bazy wiedzy.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki KB Support u dostawcy oraz ich wdrożenie. W przypadku braku łatki należy ograniczyć dostęp do funkcji wtyczki, monitorować logi pod kątem podejrzanych aktywności oraz priorytetyzować działania naprawcze w środowiskach produkcyjnych.

Źródła

• NVD
• Reference
• Reference