CVE-2024-11396: luka w wtyczce Event Monster dla WordPress umożliwiająca wyciek danych

Co wiadomo

Wtyczka Event Monster do zarządzania wydarzeniami i rezerwacji biletów w WordPress w wersjach do 1.4.3 umożliwia nieautoryzowany dostęp do danych osobowych poprzez publicznie dostępną, statycznie nazwaną eksportowaną listę uczestników w formacie CSV. Atakujący mogą pozyskać imiona, nazwiska, adresy e-mail oraz numery telefonów uczestników wydarzeń.

Wpływ biznesowy

Narażenie danych osobowych uczestników wydarzeń może skutkować naruszeniem prywatności, utratą zaufania klientów oraz potencjalnymi konsekwencjami prawnymi związanymi z ochroną danych. Administratorzy stron korzystających z tej wtyczki powinni traktować tę lukę jako istotne zagrożenie dla bezpieczeństwa informacji osobowych i podjąć odpowiednie działania minimalizujące ryzyko wycieku.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Event Monster u dostawcy oraz ich instalację. W międzyczasie warto ograniczyć dostęp do katalogu wp-content, monitorować logi serwera pod kątem nieautoryzowanych pobrań plików CSV oraz rozważyć tymczasowe wyłączenie funkcji eksportu listy uczestników. Priorytetowo należy przeprowadzić audyt bezpieczeństwa i ocenić ekspozycję danych.

Źródła

• NVD
• Reference
• Reference