CVE-2024-10543: luka w wtyczce Tumult Hype Animations umożliwiająca nieautoryzowany dostęp do danych

Co wiadomo

Wtyczka Tumult Hype Animations dla WordPressa ma lukę polegającą na braku sprawdzenia uprawnień w funkcji hypeanimations_getcontent, co pozwala użytkownikom z poziomem Subskrybenta i wyższym na dostęp do informacji o animacjach. Luka dotyczy wszystkich wersji do 1.9.14 włącznie.

Wpływ biznesowy

Atakujący z kontem o niskim poziomie uprawnień mogą uzyskać dostęp do danych animacji, co może prowadzić do wycieku informacji i potencjalnego wykorzystania w dalszych atakach. Właściciele stron korzystających z tej wtyczki powinni zwrócić uwagę na możliwość nieautoryzowanego dostępu i ocenić ryzyko dla swojej infrastruktury.

Rekomendowane działania administratora

Zaleca się sprawdzenie dostępności aktualizacji wtyczki Tumult Hype Animations i ich niezwłoczne zastosowanie. W przypadku braku łatki należy ograniczyć dostęp użytkowników do poziomu Subskrybenta lub wyższego oraz monitorować logi pod kątem podejrzanej aktywności związaną z funkcją hypeanimations_getcontent. Priorytetowo należy ocenić ekspozycję wtyczki i rozważyć tymczasowe wyłączenie, jeśli to możliwe.

Źródła

• NVD
• Reference
• Reference