CVE-2023-4282
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 33 - wyżej niż 33% wszystkich znanych CVE
Streszczenie
Wtyczka EmbedPress dla WordPressa jest podatna na nieautoryzowaną utratę danych z powodu braku sprawdzenia uprawnień w funkcjach 'admin_post_remove' i 'remove_private_data' w wersjach do 3.8.2 włącznie. Umożliwia to uwierzytelnionym atakującym z uprawnieniami subskrybenta lub wyższymi usunięcie ustawień wtyczki.
Ocena ryzyka
Organizacja może stracić ważne dane konfiguracyjne wtyczki, co może prowadzić do zakłóceń w działaniu strony internetowej lub utraty funkcjonalności.
Rekomendacja
Zaleca się aktualizację wtyczki EmbedPress do najnowszej wersji, aby usunąć tę podatność oraz wprowadzenie dodatkowych kontroli uprawnień dla funkcji związanych z usuwaniem danych.
Oryginalny opis (angielski, źródło NVD)
The EmbedPress plugin for WordPress is vulnerable to unauthorized loss of data due to a missing capability check on the 'admin_post_remove' and 'remove_private_data' functions in versions up to, and including, 3.8.2. This makes it possible for authenticated attackers with subscriber privileges or above, to delete plugin settings.