WP-Optimize: Nieautoryzowany dostęp do funkcji w wersjach do 4.5.0

Co wiadomo

Wtyczka WP-Optimize dla WordPressa ma lukę umożliwiającą nieautoryzowany dostęp do funkcji poprzez brak weryfikacji uprawnień w funkcji receive_heartbeat(). Atakujący z poziomem subskrybenta lub wyższym mogą wykonywać operacje zarezerwowane dla administratorów, takie jak odczyt logów czy usuwanie kopii zapasowych obrazów.

Wpływ biznesowy

Luka pozwala na eskalację uprawnień w obrębie witryny WordPress, co może prowadzić do nieautoryzowanych zmian w konfiguracji wtyczki Smush oraz usuwania ważnych danych. Może to skutkować zakłóceniem działania serwisu, utratą danych oraz potencjalnym naruszeniem bezpieczeństwa informacji.

Rekomendowane działania administratora

Zaleca się jak najszybsze zaktualizowanie wtyczki WP-Optimize do najnowszej wersji udostępnionej przez producenta. W międzyczasie warto ograniczyć dostęp użytkowników do poziomu subskrybenta i wyżej oraz monitorować logi pod kątem podejrzanych działań związanych z funkcjami Smush. Przegląd i ograniczenie uprawnień użytkowników oraz audyt konfiguracji wtyczek zwiększy bezpieczeństwo.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference