Analityczne wykorzystywanie plików cookies
CVE-2024-11134: luka w wtyczce Eventer dla WordPress umożliwiająca nieautoryzowany dostęp do danych
Luka w wtyczce Eventer WordPress pozwala subskrybentom na pobieranie danych klientów. Zalecana aktualizacja i ograniczenie dostępu.
- CVSS
- 4.3 MEDIUM
- EPSS
- 22.83%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- eventer
Co wiadomo
Wtyczka Eventer dla WordPress do wersji 3.9.9 włącznie posiada lukę polegającą na braku sprawdzenia uprawnień w funkcji 'eventer_export_bookings_csv'. Umożliwia to użytkownikom z uprawnieniami subskrybenta lub wyższymi pobieranie danych rezerwacji zawierających dane osobowe klientów.
Wpływ biznesowy
Luka ta może prowadzić do nieautoryzowanego dostępu do wrażliwych danych klientów, co stwarza ryzyko naruszenia prywatności i potencjalnych konsekwencji prawnych. Operatorzy stron korzystających z tej wtyczki powinni rozważyć wpływ na ochronę danych osobowych oraz reputację firmy.
Rekomendowane działania administratora
Zaleca się jak najszybsze zaktualizowanie wtyczki Eventer do najnowszej wersji udostępnionej przez producenta. W przypadku braku dostępnej aktualizacji, należy ograniczyć dostęp do funkcji eksportu rezerwacji tylko do zaufanych użytkowników oraz monitorować logi pod kątem podejrzanej aktywności. Warto również przeprowadzić przegląd uprawnień użytkowników i ograniczyć je do niezbędnego minimum.