CVE-2024-0908: Nieautoryzowany dostęp do danych w wtyczce Advanced Post Block dla WordPress

Co wiadomo

Wtyczka Advanced Post Block – Display Posts, Pages, or Custom Posts on Your Page dla WordPress zawiera lukę umożliwiającą nieautoryzowany dostęp do danych poprzez brak sprawdzenia uprawnień w funkcji apbPosts() obsługującej żądania AJAX. Luka występuje we wszystkich wersjach do 1.13.4 włącznie, pozwalając atakującym na pobranie wszystkich danych postów, w tym chronionych hasłem.

Wpływ biznesowy

Dla operatorów IT i właścicieli infrastruktury oznacza to ryzyko wycieku poufnych treści publikowanych na stronach WordPress korzystających z tej wtyczki. Nieautoryzowany dostęp do danych może prowadzić do naruszenia prywatności użytkowników oraz utraty zaufania klientów. W przypadku stron firmowych lub e-commerce może to skutkować poważnymi konsekwencjami biznesowymi i prawnymi.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Advanced Post Block i ich wdrożenie. W przypadku braku łatki należy ograniczyć dostęp do funkcji AJAX wtyczki, monitorować logi serwera pod kątem podejrzanych żądań oraz rozważyć tymczasowe wyłączenie wtyczki. Priorytetowo należy ocenić ekspozycję serwisu i wprowadzić dodatkowe zabezpieczenia dostępu.

Źródła

• NVD
• Reference
• Reference
• Reference