CVE-2024-12062: luka w wtyczce Charity Addon for Elementor umożliwiająca wyciek informacji

Co wiadomo

Wtyczka Charity Addon for Elementor do WordPressa w wersjach do 1.3.3 włącznie posiada lukę pozwalającą użytkownikom z uprawnieniami co najmniej Contributor na dostęp do prywatnych lub roboczych postów, które normalnie powinny być niedostępne. Luka wynika z niewystarczających ograniczeń w shortcode 'nacharity_elementor_template'.

Wpływ biznesowy

Atakujący z dostępem na poziomie Contributor mogą uzyskać dostęp do poufnych danych zawartych w prywatnych lub roboczych postach tworzonych w Elementorze, co może prowadzić do wycieku informacji i naruszenia prywatności. Organizacje korzystające z tej wtyczki powinny rozważyć ryzyko związane z nieautoryzowanym dostępem do treści oraz potencjalne konsekwencje dla reputacji i zgodności z regulacjami.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Charity Addon for Elementor i ich wdrożenie. W międzyczasie warto ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi dostępu oraz przeglądać zawartość prywatnych i roboczych postów pod kątem nieautoryzowanego dostępu. W przypadku braku dostępnej poprawki należy rozważyć tymczasowe wyłączenie wtyczki lub jej funkcji związanych z shortcode 'nacharity_elementor_template'.

Źródła

• NVD
• Reference
• Reference