CVE-2025-2779: Luka w wtyczce Insert Headers and Footers Code – HT Script dla WordPress umożliwiająca nieautoryzowaną modyfikację danych

Co wiadomo

Wtyczka Insert Headers and Footers Code – HT Script dla WordPress do wersji 1.1.2 ma lukę pozwalającą uwierzytelnionym użytkownikom z poziomem Subskrybenta lub wyższym na nieautoryzowaną zmianę opcji witryny poprzez brak sprawdzenia uprawnień w funkcji ajax_dismiss. Może to prowadzić do błędów na stronie i zablokowania dostępu dla prawidłowych użytkowników lub niezamierzonego włączenia funkcji, np. rejestracji.

Wpływ biznesowy

Atakujący z kontem o niskim poziomie uprawnień mogą zmieniać ustawienia witryny, co może skutkować błędami uniemożliwiającymi dostęp dla użytkowników lub niepożądanymi zmianami funkcjonalności, takimi jak wymuszenie rejestracji. Może to wpłynąć na dostępność i integralność strony, obniżając zaufanie użytkowników i powodując potencjalne straty biznesowe.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Insert Headers and Footers Code – HT Script i ich zastosowanie. W międzyczasie warto ograniczyć dostęp użytkowników do poziomu Subskrybenta i wyżej, monitorować logi pod kątem podejrzanych zmian opcji oraz rozważyć czasowe wyłączenie wtyczki, jeśli to możliwe. Priorytetem jest minimalizacja ryzyka poprzez kontrolę uprawnień i regularne audyty bezpieczeństwa.

Źródła

• NVD
• Reference
• Reference