CVE-2024-1127: luka w wtyczce EventPrime umożliwiająca nieautoryzowany dostęp do danych

Co wiadomo

Wtyczka EventPrime – Events Calendar, Bookings and Tickets dla WordPressa do wersji 3.4.1 posiada lukę pozwalającą na nieautoryzowany dostęp do danych rezerwacji. Atakujący z uprawnieniami subskrybenta lub wyższymi mogą uzyskać dostęp do wszystkich rezerwacji wydarzeń, które mogą zawierać dane osobowe (PII).

Wpływ biznesowy

Luka w zabezpieczeniach EventPrime może prowadzić do wycieku danych osobowych klientów poprzez nieautoryzowany dostęp do rezerwacji wydarzeń. Może to skutkować naruszeniem prywatności użytkowników i potencjalnymi konsekwencjami prawnymi dla właścicieli stron. Zagrożenie jest klasyfikowane jako średnie, ale wymaga uwagi ze względu na możliwe skutki dla reputacji i zgodności z przepisami.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki EventPrime i ich wdrożenie. W międzyczasie warto ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi dostępu oraz przeprowadzić przegląd istniejących danych rezerwacji pod kątem nieautoryzowanego dostępu. Priorytetem jest szybka reakcja i minimalizacja ekspozycji danych.

Źródła

• NVD
• Reference
• Reference
• Reference