CVE-2024-1645: luka w wtyczce Mollie Forms umożliwiająca nieautoryzowany dostęp do danych

Co wiadomo

Wtyczka Mollie Forms dla WordPressa do wersji 2.6.3 włącznie zawiera lukę umożliwiającą uwierzytelnionym użytkownikom z uprawnieniami subskrybenta lub wyższymi eksportowanie danych płatności bez odpowiedniej weryfikacji uprawnień. Luka wynika z braku sprawdzenia uprawnień w funkcji exportRegistrations.

Wpływ biznesowy

Atakujący z kontem subskrybenta lub wyższym mogą uzyskać dostęp do wrażliwych danych płatności, co może prowadzić do naruszenia prywatności klientów oraz potencjalnych strat finansowych. Operatorzy stron korzystających z tej wtyczki powinni rozważyć ryzyko wycieku danych i podjąć działania ograniczające ekspozycję oraz monitorować logi pod kątem nieautoryzowanych eksportów.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Mollie Forms i ich zastosowanie. W przypadku braku łatki należy ograniczyć dostęp do kont z uprawnieniami subskrybenta lub wyższymi oraz monitorować logi systemowe pod kątem podejrzanych działań związanych z eksportem danych. Warto również przeprowadzić przegląd uprawnień użytkowników i wdrożyć zasadę najmniejszych uprawnień.

Źródła

• NVD
• Reference
• Reference
• Reference