Analityczne wykorzystywanie plików cookies
CVE-2024-12560: luka w wtyczce Button Block umożliwiająca wyciek danych
Luka w Button Block dla WordPress umożliwia wyciek danych z nieopublikowanych i chronionych wpisów przez użytkowników z uprawnieniami współpracownika i wyższymi.
- CVSS
- 4.3 MEDIUM
- EPSS
- 28.82%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- button block
Co wiadomo
Wtyczka Button Block dla WordPressa w wersjach do 1.1.5 włącznie posiada lukę w funkcji 'btn_block_duplicate_post', która pozwala użytkownikom z uprawnieniami co najmniej na poziomie Współpracownika na dostęp do poufnych danych z wersji roboczych, zaplanowanych, prywatnych oraz chronionych hasłem wpisów.
Wpływ biznesowy
Atakujący z odpowiednimi uprawnieniami mogą uzyskać dostęp do wrażliwych informacji zawartych w nieopublikowanych lub chronionych treściach, co może prowadzić do wycieku danych firmowych lub naruszenia prywatności. Organizacje korzystające z tej wtyczki powinny zweryfikować poziomy dostępu użytkowników oraz monitorować dostęp do poufnych treści.
Rekomendowane działania administratora
Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Button Block u dostawcy oraz ich wdrożenie. W międzyczasie warto ograniczyć uprawnienia użytkowników do niezbędnego minimum, przejrzeć logi pod kątem nieautoryzowanego dostępu oraz rozważyć tymczasowe wyłączenie funkcji duplikowania postów dla użytkowników z niższymi uprawnieniami.