CVE-2024-1124: luka w wtyczce EventPrime umożliwiająca nieautoryzowane wysyłanie e-maili

Co wiadomo

Wtyczka EventPrime – Events Calendar, Bookings and Tickets dla WordPressa do wersji 3.4.1 zawiera lukę umożliwiającą uwierzytelnionym użytkownikom z poziomem subskrybenta lub wyższym wysyłanie dowolnych e-maili z witryny bez odpowiedniej weryfikacji uprawnień.

Wpływ biznesowy

Atakujący z dostępem subskrybenta mogą wykorzystać tę lukę do rozsyłania nieautoryzowanych wiadomości e-mail, co może prowadzić do nadużyć, spamu lub phishingu podszywającego się pod witrynę. Może to zaszkodzić reputacji firmy i zwiększyć ryzyko naruszenia danych lub utraty zaufania użytkowników.

Rekomendowane działania administratora

Administratorzy powinni jak najszybciej zweryfikować dostępność aktualizacji wtyczki EventPrime i zastosować je, jeśli są dostępne. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem nietypowej aktywności e-mailowej oraz rozważyć tymczasowe wyłączenie funkcji wysyłania e-maili przez wtyczkę.

Źródła

• NVD
• Reference
• Reference