CVE-2024-12116: Ujawnienie informacji w Unlimited Theme Addon dla Elementor i WooCommerce

Co wiadomo

Wtyczka Unlimited Theme Addon dla Elementor i WooCommerce w wersjach do 1.2.2 umożliwia uwierzytelnionym użytkownikom z uprawnieniami co najmniej Contributor dostęp do prywatnych lub szkicowych postów poprzez shortcode 'uta-template'. Problem wynika z niewystarczających ograniczeń dotyczących dozwolonych postów do włączenia.

Wpływ biznesowy

Atakujący z uprawnieniami Contributor lub wyższymi mogą uzyskać dostęp do danych, które powinny być niedostępne, co może prowadzić do wycieku poufnych informacji i naruszenia prywatności. Organizacje korzystające z tej wtyczki powinny rozważyć ryzyko związane z nieautoryzowanym dostępem do treści prywatnych lub roboczych.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki od dostawcy oraz ich wdrożenie. W międzyczasie warto ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie funkcji shortcode 'uta-template' jeśli to możliwe.

Źródła

• NVD
• Reference
• Reference
• Reference