CVE-2024-12637: Ujawnienie wrażliwych danych w wtyczce Moving Users dla WordPress

Co wiadomo

Wtyczka Moving Users dla WordPress do wersji 1.05 włącznie posiada lukę umożliwiającą nieautoryzowany dostęp do wrażliwych danych użytkowników poprzez funkcję eksportu. Pliki JSON z danymi są zapisywane w przewidywalnych lokalizacjach z łatwymi do odgadnięcia nazwami, co pozwala atakującym na wykradanie adresów e-mail, zahashowanych haseł i adresów IP.

Wpływ biznesowy

Dla operatorów stron opartych na WordPress wykorzystujących wtyczkę Moving Users, luka ta może prowadzić do wycieku danych osobowych użytkowników, co zagraża prywatności i może skutkować naruszeniem przepisów o ochronie danych. Ataki mogą odbywać się bez uwierzytelnienia, zwiększając ryzyko masowego pozyskania informacji. W konsekwencji może to wpłynąć na reputację firmy oraz wymagać kosztownych działań naprawczych.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Moving Users i ich wdrożenie. W przypadku braku łatki, ogranicz dostęp do katalogów eksportu danych, monitoruj logi serwera pod kątem podejrzanych żądań oraz rozważ tymczasowe wyłączenie funkcji eksportu. Priorytetowo traktuj audyt i zabezpieczenie danych użytkowników, aby zminimalizować ryzyko wycieku.

Źródła

• NVD
• Reference
• Reference
• Reference