CVE-2024-12294: Ujawnienie wrażliwych informacji w wtyczce Last Viewed Posts dla WordPress

Co wiadomo

Wtyczka Last Viewed Posts by WPBeginner dla WordPress w wersjach do 1.0.1 włącznie zawiera lukę umożliwiającą nieautoryzowanym atakującym dostęp do wrażliwych danych, takich jak tytuły i linki do prywatnych, chronionych hasłem, oczekujących oraz szkiców postów. Luka występuje w funkcji 'get_legacy_cookies'.

Wpływ biznesowy

Eksploatacja tej luki może prowadzić do ujawnienia poufnych informacji zawartych w prywatnych i chronionych postach, co może naruszyć prywatność użytkowników i zaszkodzić reputacji organizacji. Administratorzy stron WordPress powinni traktować tę podatność jako średniego ryzyka, zwłaszcza jeśli korzystają z tej wtyczki i przechowują wrażliwe treści.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Last Viewed Posts i jej zainstalowanie. W przypadku braku łatki należy ograniczyć ekspozycję wtyczki, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie wtyczki. Priorytetowo należy ocenić ryzyko i wdrożyć odpowiednie środki zabezpieczające.

Źródła

• NVD
• Reference
• Reference
• Reference