Analityczne wykorzystywanie plików cookies
CVE-2024-10799: podatność Directory Traversal w wtyczce Eventer dla WordPress
Podatność CVE-2024-10799 w wtyczce Eventer WordPress umożliwia odczyt plików przez subskrybentów. Sprawdź zalecenia bezpieczeństwa i aktualizacje.
- CVSS
- 6.5 MEDIUM
- EPSS
- 50.37%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- eventer
Co wiadomo
Wtyczka Eventer dla WordPress w wersjach do 3.9.7 włącznie zawiera lukę Directory Traversal w funkcji eventer_woo_download_tickets(). Umożliwia to uwierzytelnionym użytkownikom z poziomem subskrybenta lub wyższym odczyt dowolnych plików na serwerze, co może prowadzić do ujawnienia wrażliwych danych.
Wpływ biznesowy
Luka pozwala na nieautoryzowany dostęp do plików serwera przez użytkowników z podstawowymi uprawnieniami, co zwiększa ryzyko wycieku poufnych informacji i może narazić infrastrukturę na dalsze ataki. Operatorzy IT powinni traktować tę podatność jako istotne zagrożenie dla bezpieczeństwa środowiska WordPress, zwłaszcza jeśli wtyczka Eventer jest używana w ich systemach.
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Eventer u dostawcy oraz jej wdrożenie. W międzyczasie warto ograniczyć dostęp użytkowników do niezbędnego minimum, monitorować logi serwera pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie funkcji pobierania biletów, jeśli to możliwe. Priorytetem jest szybka reakcja i minimalizacja ekspozycji na atak.