Вразливість у ConvertPlus для WordPress дозволяє несанкціоновану зміну даних

Що відомо

Плагін ConvertPlus для WordPress містить уразливість, що дозволяє користувачам з рівнем доступу Subscriber та вище змінювати параметри сайту через відсутність перевірки прав на AJAX-ендпоінті 'cp_dismiss_notice'. Це може призвести до відмови в обслуговуванні або небажаних змін налаштувань.

Бізнес-вплив

Уразливість може бути використана для створення помилок на сайті, що призведе до відмови в обслуговуванні для легітимних користувачів, або для активації певних функцій, наприклад, реєстрації. Це створює ризики для стабільності та безпеки веб-ресурсу, особливо якщо плагін активно використовується.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна ConvertPlus від виробника та негайно їх застосувати. Якщо оновлення недоступні, слід обмежити доступ користувачів з рівнем Subscriber і вище до відповідних функцій, переглянути журнали подій на предмет підозрілої активності та зменшити експозицію сайту до потенційних атак.

Джерела

• NVD
• Reference
• Reference