CVE-2023-5922: Luka w wtyczce Royal Elementor Addons umożliwiająca nieautoryzowany dostęp do treści

Co wiadomo

Wtyczka Royal Elementor Addons and Templates dla WordPress w wersjach przed 1.3.81 nie weryfikuje uprawnień użytkowników korzystających z akcji AJAX (oraz REST endpoint, obecnie wyłączonego), co pozwala nieautoryzowanym osobom na dostęp do szkiców, prywatnych oraz chronionych hasłem postów i stron.

Wpływ biznesowy

Luka ta może prowadzić do wycieku poufnych treści, takich jak szkice i prywatne strony, co stanowi poważne zagrożenie dla poufności danych i reputacji organizacji korzystających z tej wtyczki. Atakujący bez uwierzytelnienia mogą uzyskać dostęp do informacji, które powinny być chronione, co może skutkować naruszeniem polityk bezpieczeństwa i przepisów o ochronie danych.

Rekomendowane działania administratora

Zaleca się jak najszybszą aktualizację wtyczki Royal Elementor Addons do wersji 1.3.81 lub nowszej udostępnionej przez producenta. W przypadku braku możliwości natychmiastowej aktualizacji, warto ograniczyć dostęp do funkcji AJAX oraz monitorować logi serwera pod kątem podejrzanych żądań. Dodatkowo należy przeprowadzić przegląd uprawnień użytkowników i zabezpieczyć dostęp do prywatnych i chronionych treści.

Źródła

• NVD
• Reference