CVE-2024-13796: podatność na ujawnienie wrażliwych danych w wtyczce Post Grid dla WordPress

Co wiadomo

Wtyczka Post Grid i Gutenberg Blocks – ComboBlocks dla WordPress do wersji 2.3.6 włącznie posiada lukę umożliwiającą nieautoryzowany dostęp do wrażliwych informacji poprzez REST API /wp-json/post-grid/v2/get_users. Atakujący mogą wyciągnąć dane takie jak adresy e-mail i inne informacje o użytkownikach.

Wpływ biznesowy

Ta luka może prowadzić do wycieku danych osobowych użytkowników, co naraża organizacje na ryzyko naruszenia prywatności i potencjalne konsekwencje prawne. Może również ułatwić dalsze ataki socjotechniczne lub phishingowe. Operatorzy stron korzystających z tej wtyczki powinni potraktować tę podatność jako istotne zagrożenie dla bezpieczeństwa danych użytkowników.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Post Grid u dostawcy oraz jej instalację. W przypadku braku natychmiastowej aktualizacji warto ograniczyć dostęp do REST API, monitorować logi pod kątem podejrzanej aktywności oraz przeprowadzić przegląd uprawnień użytkowników. Priorytetem jest szybkie załatanie luki i minimalizacja ekspozycji danych.

Źródła

• NVD
• Reference
• Reference
• Reference