CVE-2024-12061: Luka w wtyczce Events Addon for Elementor umożliwiająca wyciek informacji

Co wiadomo

Wtyczka Events Addon for Elementor do WordPressa w wersjach do 2.2.3 włącznie posiada lukę umożliwiającą ujawnienie informacji poprzez shortcode naevents_elementor_template. Atakujący z uprawnieniami co najmniej na poziomie Współtwórcy mogą uzyskać dostęp do prywatnych lub roboczych postów, do których normalnie nie powinni mieć dostępu.

Wpływ biznesowy

Dla administratorów CMS korzystających z tej wtyczki istnieje ryzyko nieautoryzowanego dostępu do poufnych treści, co może prowadzić do wycieku danych wewnętrznych lub niedokończonych materiałów. Może to wpłynąć na reputację firmy oraz wymagać dodatkowych działań naprawczych i audytów bezpieczeństwa.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki u dostawcy nicheaddons i jej instalację. W przypadku braku łatki należy ograniczyć dostęp użytkowników do poziomu poniżej Współtwórcy, przejrzeć logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie funkcji korzystających z podatnego shortcode.

Źródła

• NVD
• Reference
• Reference