CVE-2024-12584: Luka w wtyczce xpro addons for elementor umożliwiająca wyciek danych

Co wiadomo

Wtyczka 140+ Widgets | Xpro Addons For Elementor – FREE dla WordPressa jest podatna na ujawnienie wrażliwych informacji w wersjach do 1.4.6.2 włącznie poprzez funkcję 'duplicate'. Atakujący z uprawnieniami co najmniej na poziomie Współpracownika mogą uzyskać dostęp do danych z wersji roboczych, zaplanowanych, prywatnych oraz chronionych hasłem wpisów.

Wpływ biznesowy

Podatność pozwala na nieautoryzowany dostęp do poufnych treści w systemie CMS, co może prowadzić do wycieku danych firmowych lub naruszenia prywatności użytkowników. Operatorzy IT powinni zwrócić uwagę na potencjalne ryzyko związane z dostępem osób o ograniczonych uprawnieniach do wrażliwych informacji, co może wpłynąć na reputację i bezpieczeństwo infrastruktury.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki u dostawcy oraz jej wdrożenie. W międzyczasie warto ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć czasowe wyłączenie funkcji 'duplicate' lub całej wtyczki, jeśli to możliwe.

Źródła

• NVD
• Reference
• Reference