CVE-2024-10787: luka w wtyczce LA-Studio Element Kit for Elementor umożliwiająca wyciek informacji

Co wiadomo

Wtyczka LA-Studio Element Kit for Elementor do WordPressa w wersjach do 1.4.4 włącznie posiada lukę umożliwiającą ujawnienie informacji poprzez shortcode 'elementor-template'. Atakujący z uprawnieniami co najmniej na poziomie Współpracownika mogą uzyskać dostęp do prywatnych i roboczych postów, do których normalnie nie powinni mieć dostępu.

Wpływ biznesowy

Luka pozwala na nieautoryzowany dostęp do danych prywatnych i roboczych postów w serwisach WordPress korzystających z tej wtyczki, co może prowadzić do wycieku poufnych informacji. Organizacje korzystające z LA-Studio Element Kit powinny rozważyć ryzyko naruszenia prywatności i integralności treści, zwłaszcza gdy użytkownicy mają uprawnienia współpracownika lub wyższe.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki LA-Studio Element Kit for Elementor u dostawcy oraz jej wdrożenie. W międzyczasie warto ograniczyć uprawnienia użytkowników do niezbędnego minimum, przejrzeć logi pod kątem podejrzanej aktywności oraz monitorować dostęp do prywatnych i roboczych postów. Priorytetowo traktuj aktualizacje i zabezpieczenia środowiska WordPress.

Źródła

• NVD
• Reference
• Reference