CVE-2024-1126: luka w wtyczce EventPrime dla WordPress umożliwiająca nieautoryzowany dostęp do danych

Co wiadomo

Wtyczka EventPrime – Events Calendar, Bookings and Tickets dla WordPress do wersji 3.4.2 włącznie posiada lukę umożliwiającą uwierzytelnionym użytkownikom z poziomem subskrybenta lub wyższym dostęp do listy uczestników dowolnego wydarzenia. Problem wynika z braku odpowiedniej kontroli uprawnień w funkcji get_attendees_email_by_event_id().

Wpływ biznesowy

Luka pozwala na nieautoryzowany dostęp do danych uczestników wydarzeń, co może prowadzić do naruszenia prywatności i wycieku informacji osobowych. Operatorzy stron korzystających z tej wtyczki powinni traktować tę podatność jako istotne zagrożenie dla bezpieczeństwa danych użytkowników i odpowiednio ją zaadresować, aby uniknąć potencjalnych konsekwencji prawnych i reputacyjnych.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki EventPrime u dostawcy oraz jej instalację. W przypadku braku natychmiastowej łatki, warto ograniczyć dostęp do panelu administracyjnego tylko do zaufanych użytkowników oraz monitorować logi pod kątem podejrzanych działań. Priorytetowo należy przeprowadzić przegląd uprawnień użytkowników i ograniczyć dostęp do funkcji związanych z zarządzaniem wydarzeniami.

Źródła

• NVD
• Reference
• Reference