Analityczne wykorzystywanie plików cookies
CVE-2024-13525: luka w wtyczce Customer Email Verification for WooCommerce umożliwiająca wyciek danych
Luka w wtyczce WooCommerce pozwala na wyciek e-maili i zahashowanych haseł użytkowników przez shortcode. Zalecane szybkie aktualizacje i ograniczenia uprawnień.
- CVSS
- 6.5 MEDIUM
- EPSS
- 35.19%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- customer email verification for woocommerce
Co wiadomo
Wtyczka Customer Email Verification for WooCommerce do WordPressa w wersjach do 2.9.4 włącznie posiada lukę umożliwiającą uwierzytelnionym użytkownikom z uprawnieniami co najmniej Contributor wyciąganie wrażliwych danych, takich jak adresy e-mail i zahashowane hasła użytkowników, poprzez shortcode.
Wpływ biznesowy
Luka ta może prowadzić do nieautoryzowanego dostępu do danych użytkowników sklepu internetowego, co zagraża prywatności klientów i może skutkować naruszeniem przepisów o ochronie danych osobowych. Operatorzy IT powinni traktować tę podatność jako średniego ryzyka, zwłaszcza w środowiskach z wieloma użytkownikami o podwyższonych uprawnieniach.
Rekomendowane działania administratora
Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki u dostawcy oraz jej instalację. W międzyczasie warto ograniczyć liczbę użytkowników z uprawnieniami Contributor i wyższymi oraz monitorować logi pod kątem podejrzanych działań związanych z shortcode. Priorytetowo należy ocenić ekspozycję systemu i wprowadzić odpowiednie środki minimalizujące ryzyko wycieku danych.