CVE-2024-10399: Luka w wtyczce Download Monitor dla WordPress umożliwiająca nieautoryzowany dostęp do danych użytkowników

Co wiadomo

Wtyczka Download Monitor dla WordPress do wersji 5.0.13 ma lukę polegającą na braku weryfikacji uprawnień w funkcji ajax_search_users. Pozwala to uwierzytelnionym użytkownikom z poziomem Subskrybenta i wyższym na uzyskanie nazw użytkowników oraz adresów e-mail innych użytkowników witryny.

Wpływ biznesowy

Atakujący z dostępem na poziomie Subskrybenta mogą pozyskać dane osobowe użytkowników, co może prowadzić do naruszenia prywatności i potencjalnych dalszych ataków socjotechnicznych. Organizacje korzystające z tej wtyczki powinny traktować tę lukę jako istotne zagrożenie dla bezpieczeństwa danych użytkowników i reputacji serwisu.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Download Monitor i jej instalację. W przypadku braku łatki, ograniczenie dostępu do funkcji ajax_search_users, przegląd logów pod kątem podejrzanej aktywności oraz monitorowanie kont użytkowników o poziomie Subskrybenta i wyższym. Warto również rozważyć ograniczenie liczby użytkowników z uprawnieniami subskrybenta.

Źródła

• NVD
• Reference
• Reference
• Reference