CVE-2024-10670: luka w wtyczce Primary Addon for Elementor umożliwiająca wyciek informacji

Co wiadomo

Wtyczka Primary Addon for Elementor dla WordPressa w wersjach do 1.6.2 włącznie posiada lukę umożliwiającą wyciek informacji poprzez shortcode [prim_elementor_template]. Luka wynika z niewystarczających ograniczeń dotyczących dostępu do postów, co pozwala użytkownikom z uprawnieniami co najmniej na poziomie Współpracownika na dostęp do prywatnych lub roboczych postów.

Wpływ biznesowy

Atakujący z uprawnieniami Współpracownika lub wyższymi mogą uzyskać dostęp do danych, które powinny być niedostępne, co może prowadzić do naruszenia poufności informacji i potencjalnych szkód wizerunkowych. Organizacje korzystające z tej wtyczki powinny zweryfikować poziomy dostępu i zabezpieczenia, aby ograniczyć ryzyko nieautoryzowanego dostępu.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki u dostawcy oraz jej wdrożenie. W międzyczasie warto ograniczyć uprawnienia użytkowników do niezbędnego minimum, przejrzeć logi pod kątem podejrzanej aktywności oraz monitorować dostęp do prywatnych i roboczych postów. Priorytetowo traktuj aktualizacje zabezpieczeń i audyt uprawnień użytkowników.

Źródła

• NVD
• Reference
• Reference