CVE-2024-13740: luka w wtyczce ProfileGrid dla WordPress

Co wiadomo

Wtyczka ProfileGrid dla WordPress do zarządzania profilami i grupami ma lukę typu Insecure Direct Object Reference w wersjach do 5.9.4.2 włącznie. Umożliwia to uwierzytelnionym użytkownikom z poziomem Subskrybenta lub wyższym odczyt prywatnych wiadomości innych użytkowników.

Wpływ biznesowy

Luka pozwala na nieautoryzowany dostęp do prywatnych konwersacji użytkowników, co może prowadzić do naruszenia prywatności i wycieku poufnych informacji. Operatorzy IT powinni rozważyć ryzyko związane z dostępem do danych użytkowników i potencjalne skutki dla reputacji oraz zgodności z regulacjami dotyczącymi ochrony danych.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki ProfileGrid u dostawcy i jej wdrożenie. W międzyczasie warto ograniczyć dostęp użytkowników do funkcji wtyczki, monitorować logi pod kątem podejrzanych działań oraz przeprowadzić audyt uprawnień użytkowników. Priorytetem jest minimalizacja ekspozycji i szybka reakcja na potencjalne incydenty.

Źródła

• NVD
• Reference
• Reference