CVE-2024-9587: Luka w wtyczce linkz.ai dla WordPress umożliwiająca nieautoryzowaną modyfikację danych

Co wiadomo

Wtyczka linkz.ai dla WordPress w wersjach do 1.1.8 włącznie posiada lukę polegającą na braku weryfikacji uprawnień w funkcji 'ajax_linkz'. Pozwala to uwierzytelnionym użytkownikom z uprawnieniami co najmniej na poziomie współautora na modyfikację ustawień wtyczki.

Wpływ biznesowy

Atakujący z uprawnieniami współautora lub wyższymi mogą zmieniać konfigurację wtyczki, co może prowadzić do niezamierzonych zmian w działaniu serwisu lub naruszenia integralności danych. W środowiskach, gdzie wielu użytkowników ma dostęp do panelu WordPress, luka ta zwiększa ryzyko nieautoryzowanych modyfikacji i potencjalnych problemów operacyjnych.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki linkz.ai i ich wdrożenie. W przypadku braku natychmiastowej łatki, ogranicz dostęp do panelu WordPress tylko do zaufanych użytkowników oraz monitoruj logi aktywności pod kątem podejrzanych zmian. Warto również przejrzeć uprawnienia użytkowników i ograniczyć je do niezbędnego minimum.

Źródła

• NVD
• Reference
• Reference
• Reference