CVE-2024-9583: luka w wtyczce RSS Aggregator dla WordPress

Co wiadomo

Wtyczka RSS Aggregator dla WordPress (wersje do 4.23.12 włącznie) posiada lukę umożliwiającą użytkownikom z uprawnieniami subskrybenta lub wyższymi wysyłanie fałszywych zgłoszeń wsparcia premium, podszywając się pod właściciela strony. Luka wynika z braku odpowiedniej weryfikacji uprawnień w funkcji wprss_ajax_send_premium_support.

Wpływ biznesowy

Atakujący mogą wykorzystać tę lukę do podszywania się pod właściciela witryny, co może prowadzić do nadużyć w komunikacji z działem wsparcia oraz potencjalnego wycieku informacji o licencji. Dla operatorów IT i właścicieli infrastruktury oznacza to ryzyko reputacyjne oraz konieczność weryfikacji bezpieczeństwa procesów obsługi wsparcia.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki RSS Aggregator u dostawcy oraz ich wdrożenie. W międzyczasie warto ograniczyć dostęp do funkcji wsparcia premium do zaufanych użytkowników, monitorować logi pod kątem nietypowych zgłoszeń oraz przeprowadzić audyt uprawnień użytkowników w systemie WordPress.

Źródła

• NVD
• Reference
• Reference
• Reference