CVE-2024-1678: Ujawnienie wrażliwych informacji w wtyczce Subway – Private Site Option dla WordPress

Co wiadomo

Wtyczka Subway – Private Site Option dla WordPress do wersji 2.1.4 włącznie posiada lukę umożliwiającą nieautoryzowany dostęp do chronionych treści poprzez REST API. Atakujący mogą ominąć funkcję prywatnej strony i przeglądać ograniczone strony oraz posty.

Wpływ biznesowy

Luka ta może prowadzić do nieautoryzowanego ujawnienia poufnych informacji, co zagraża prywatności i integralności zawartości stron opartych na WordPress z tą wtyczką. Operatorzy stron powinni traktować tę podatność jako średniego ryzyka, zwłaszcza jeśli korzystają z funkcji prywatnych stron do ochrony treści.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Subway – Private Site Option u jej dostawcy oraz jej instalację. W międzyczasie warto ograniczyć dostęp do REST API, monitorować logi pod kątem nieautoryzowanych prób dostępu oraz ocenić ryzyko ekspozycji danych. Priorytetem jest szybkie załatanie luki lub zastosowanie środków ograniczających dostęp.

Źródła

• NVD
• Reference
• Reference