CVE-2023-3244
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 51 - wyżej niż 51% wszystkich znanych CVE
Streszczenie
Wtyczka Comments Like Dislike dla WordPressa jest podatna na nieautoryzowaną modyfikację danych z powodu braku sprawdzenia uprawnień w funkcji restore_settings wywoływanej przez akcję AJAX w wersjach do 1.2.0 włącznie. Umożliwia to uwierzytelnionym atakującym z minimalnymi uprawnieniami, takim jak subskrybent, resetowanie ustawień wtyczki.
Ocena ryzyka
Atakujący mogą zmieniać ustawienia wtyczki, co może prowadzić do nieautoryzowanego dostępu do funkcji lub danych w systemie WordPress. To stwarza ryzyko dla integralności i bezpieczeństwa strony internetowej.
Rekomendacja
Zaleca się aktualizację wtyczki do najnowszej wersji, aby usunąć tę podatność. Dodatkowo, warto przeprowadzić audyt uprawnień użytkowników, aby ograniczyć dostęp do wrażliwych funkcji.
Oryginalny opis (angielski, źródło NVD)
The Comments Like Dislike plugin for WordPress is vulnerable to unauthorized modification of data due to a missing capability check on the restore_settings function called via an AJAX action in versions up to, and including, 1.2.0. This makes it possible for authenticated attackers with minimal permissions, such as a subscriber, to reset the plugin's settings. NOTE: this issue is was only partially patched in version 1.2.0, as the nonce is still present to subscriber-level users.