CVE-2024-1462: luka w wtyczce Maintenance Page dla WordPress ujawniająca podstawowe informacje

Co wiadomo

Wtyczka Maintenance Page dla WordPress w wersjach do 1.0.8 włącznie posiada lukę umożliwiającą nieautoryzowanym osobom dostęp do tytułów i treści wpisów poprzez REST API, gdy strona jest w trybie konserwacji.

Wpływ biznesowy

Atakujący bez uwierzytelnienia mogą uzyskać dostęp do części zawartości strony, co może prowadzić do wycieku poufnych informacji i obniżenia zaufania użytkowników. Dla właścicieli stron opartych na WordPress korzystających z tej wtyczki istnieje ryzyko niezamierzonego ujawnienia danych podczas prac konserwacyjnych.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Maintenance Page u dostawcy themegrill oraz ich wdrożenie. W międzyczasie warto ograniczyć dostęp do REST API lub wyłączyć tryb konserwacji, jeśli to możliwe. Monitorowanie logów serwera pod kątem nieautoryzowanych zapytań REST API również pomoże w wykryciu potencjalnych prób wykorzystania luki.

Źródła

• NVD
• Reference
• Reference