CVE-2024-12558: Nieautoryzowany dostęp do danych w wtyczce WP BASE Booking dla WordPress

Co wiadomo

Wtyczka WP BASE Booking dla WordPress do zarządzania rezerwacjami i wydarzeniami posiada lukę umożliwiającą nieautoryzowany dostęp do danych poprzez brak weryfikacji uprawnień w funkcji export_db. Atakujący z poziomem subskrybenta lub wyższym mogą uzyskać dostęp do wrażliwych informacji, w tym zahashowanego hasła administratora.

Wpływ biznesowy

Luka pozwala na wyciek poufnych danych z bazy, co może prowadzić do eskalacji uprawnień i naruszenia bezpieczeństwa całej witryny WordPress. Operatorzy IT powinni traktować tę podatność jako poważne zagrożenie dla integralności i poufności danych, zwłaszcza w środowiskach z wieloma użytkownikami o różnym poziomie dostępu.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki WP BASE Booking i ich wdrożenie. W międzyczasie warto ograniczyć dostęp użytkowników do poziomu subskrybenta oraz monitorować logi pod kątem podejrzanych działań związanych z eksportem danych. Przegląd uprawnień użytkowników i minimalizacja ryzyka ekspozycji danych są kluczowe.

Źródła

• NVD
• Reference
• Reference
• Reference