Lafka Plugin dla WordPress umożliwia nieautoryzowaną zmianę opcji motywu

Co wiadomo

Wtyczka Lafka dla WordPress do wersji 7.1.0 ma lukę pozwalającą na nieautoryzowany dostęp do funkcji AJAX 'lafka_options_upload'. Atakujący z uprawnieniami subskrybenta lub wyższymi mogą zmieniać opcje motywu nadpisujące ustawienia witryny.

Wpływ biznesowy

Luka umożliwia użytkownikom z niskim poziomem uprawnień modyfikację kluczowych ustawień motywu, co może prowadzić do niepożądanych zmian wizualnych lub funkcjonalnych strony. Może to wpłynąć na wizerunek firmy oraz stabilność działania witryny, a także zwiększyć ryzyko dalszych ataków.

Rekomendowane działania administratora

Zaleca się jak najszybsze zaktualizowanie wtyczki Lafka do wersji powyżej 7.1.0, jeśli jest dostępna. W przypadku braku aktualizacji należy ograniczyć dostęp użytkowników do poziomu subskrybenta i wyższego oraz monitorować logi pod kątem podejrzanych działań związanych z funkcją 'lafka_options_upload'. Warto również rozważyć tymczasowe wyłączenie wtyczki, jeśli nie jest niezbędna.

Źródła

• NVD
• Reference
• Reference