CVE-2024-12335: Luka w wtyczce Avada Builder umożliwiająca wyciek informacji

Co wiadomo

Wtyczka Avada (Fusion) Builder dla WordPressa do wersji 3.11.12 włącznie posiada lukę w funkcji handle_clone_post() oraz w shortcode 'fusion_blog', która pozwala na nieautoryzowany dostęp do danych z postów chronionych hasłem, prywatnych lub szkiców. Luka dotyczy użytkowników z uprawnieniami co najmniej na poziomie współpracownika.

Wpływ biznesowy

Atakujący z dostępem na poziomie współpracownika lub wyższym mogą uzyskać dostęp do poufnych treści, które normalnie powinny być niedostępne, co może prowadzić do wycieku wrażliwych informacji i naruszenia prywatności. Organizacje korzystające z tej wtyczki powinny rozważyć ryzyko związane z nieautoryzowanym dostępem do danych oraz potencjalne skutki dla reputacji i zgodności z regulacjami.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Avada Builder u dostawcy Theme-Fusion oraz ich wdrożenie. W przypadku braku łatki należy ograniczyć dostęp użytkowników do poziomu niższego niż współpracownik, monitorować logi pod kątem podejrzanej aktywności oraz przeprowadzić przegląd uprawnień i widoczności postów. Priorytetem jest minimalizacja ekspozycji wrażliwych danych.

Źródła

• NVD
• Reference
• Reference