Analityczne wykorzystywanie plików cookies
CVE-2024-12184: luka wtyczki WordPress Contact Forms umożliwiająca nieautoryzowany dostęp do danych
Luka w wtyczce WordPress Contact Forms umożliwia pobieranie formularzy bez uprawnień. Sprawdź zalecenia bezpieczeństwa i aktualizacje.
- CVSS
- 5.3 MEDIUM
- EPSS
- 30.25%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- wordpress contact forms
Co wiadomo
Wtyczka WordPress Contact Forms firmy Cimatti do wersji 1.9.4 włącznie posiada lukę umożliwiającą nieautoryzowanym użytkownikom pobieranie formularzy przesłanych przez innych użytkowników. Problem wynika z braku weryfikacji uprawnień w funkcji accua_forms_download_submitted_file().
Wpływ biznesowy
Luka ta może prowadzić do wycieku danych przesłanych przez użytkowników za pomocą formularzy kontaktowych, co zagraża prywatności i bezpieczeństwu informacji. Administratorzy stron korzystających z tej wtyczki powinni traktować tę podatność jako średniego ryzyka, zwłaszcza jeśli formularze zawierają wrażliwe dane.
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki u dostawcy oraz jej instalację. W międzyczasie warto ograniczyć dostęp do formularzy i monitorować logi serwera pod kątem nieautoryzowanych prób pobierania plików. Priorytetowo należy ocenić ryzyko i wdrożyć dodatkowe zabezpieczenia kontroli dostępu.