CVE-2024-9824: Luka wtyczki ImagePress – Image Gallery umożliwiająca nieautoryzowaną modyfikację postów

Co wiadomo

Wtyczka ImagePress – Image Gallery dla WordPressa do wersji 1.2.2 posiada lukę pozwalającą użytkownikom z uprawnieniami subskrybenta i wyższymi na usuwanie oraz modyfikację tytułów postów bez odpowiedniej weryfikacji uprawnień. Luka wynika z braku sprawdzenia zdolności w funkcjach 'ip_delete_post' i 'ip_update_post_title'.

Wpływ biznesowy

Atakujący z dostępem na poziomie subskrybenta mogą usuwać dowolne posty oraz zmieniać ich tytuły, co może prowadzić do utraty danych i zakłóceń w publikowanych treściach. W środowiskach WordPress wykorzystywanych do publikacji ważnych informacji lub e-commerce, taka luka może negatywnie wpłynąć na reputację i operacje biznesowe.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki ImagePress – Image Gallery i ich wdrożenie. W międzyczasie warto ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem nieautoryzowanych działań oraz rozważyć tymczasowe wyłączenie wtyczki, jeśli to możliwe. Regularne audyty bezpieczeństwa i przegląd uprawnień użytkowników pomogą zminimalizować ryzyko.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference