CVE-2024-1287: podatność w wtyczce Paid Memberships Pro dla WordPress

Co wiadomo

Wtyczka pmpro-member-directory dla WordPress w wersjach przed 1.2.6 umożliwia użytkownikom z rolą co najmniej współtwórcy wyciek wrażliwych danych innych użytkowników, w tym skrótów haseł, poprzez lukę SQL Injection.

Wpływ biznesowy

Ta podatność może prowadzić do nieautoryzowanego dostępu do poufnych informacji użytkowników, co zagraża bezpieczeństwu danych i może skutkować naruszeniem prywatności oraz utratą zaufania klientów. Operatorzy stron korzystających z tej wtyczki powinni potraktować problem poważnie, zwłaszcza w środowiskach z wieloma użytkownikami o różnych poziomach uprawnień.

Rekomendowane działania administratora

Zaleca się niezwłoczne zaktualizowanie wtyczki pmpro-member-directory do wersji 1.2.6 lub nowszej udostępnionej przez producenta. W przypadku braku możliwości natychmiastowej aktualizacji, ogranicz dostęp użytkowników do ról z uprawnieniami co najmniej współtwórcy oraz przeprowadź przegląd logów pod kątem podejrzanej aktywności. Dodatkowo warto monitorować oficjalne komunikaty producenta w celu uzyskania dalszych wskazówek.

Źródła

• NVD
• Reference