Analityczne wykorzystywanie plików cookies
CVE-2023-4917: podatność Leyka wtyczki WordPress na ujawnienie wrażliwych informacji
Podatność w wtyczce Leyka WordPress pozwala uwierzytelnionym użytkownikom na wyciek kluczy API i haseł. Sprawdź zalecenia bezpieczeństwa.
- CVSS
- 5.3 MEDIUM
- EPSS
- 44.69%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- leyka
Co wiadomo
Wtyczka Leyka dla WordPress w wersjach do 3.30.7 włącznie posiada lukę umożliwiającą uwierzytelnionym użytkownikom z uprawnieniami subskrybenta lub wyższymi wyciągnięcie wrażliwych danych, takich jak klucze API i hasła (np. Sberbank, PayPal).
Wpływ biznesowy
Atakujący z dostępem na poziomie subskrybenta mogą pozyskać poufne dane konfiguracyjne, co może prowadzić do nadużyć finansowych lub dalszych ataków na infrastrukturę. Organizacje korzystające z tej wtyczki powinny traktować tę lukę poważnie ze względu na ryzyko wycieku kluczy i haseł do systemów płatności i usług zewnętrznych.
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Leyka u dostawcy oraz jej wdrożenie. W międzyczasie warto ograniczyć dostęp użytkowników do poziomu subskrybenta, monitorować logi pod kątem podejrzanej aktywności oraz zweryfikować i zmienić klucze API i hasła, które mogły zostać ujawnione.