CVE-2024-1756: Luka w WooCommerce Customers Manager umożliwiająca dostęp do danych klientów

Co wiadomo

Wtyczka WooCommerce Customers Manager dla WordPressa w wersjach przed 29.8 posiada lukę w autoryzacji i ochronie CSRF w akcji AJAX. Pozwala to każdemu uwierzytelnionemu użytkownikowi, nawet subskrybentowi, na pobranie listy adresów e-mail klientów wraz z ich identyfikatorami oraz imionami i nazwiskami.

Wpływ biznesowy

Ta luka może prowadzić do nieautoryzowanego ujawnienia danych osobowych klientów, co stanowi zagrożenie dla prywatności i może narazić firmę na konsekwencje prawne oraz utratę zaufania klientów. Administratorzy stron korzystających z tej wtyczki powinni traktować tę podatność jako średniego ryzyka, wymagającą szybkiej reakcji w celu ochrony danych.

Rekomendowane działania administratora

Zaleca się jak najszybszą aktualizację wtyczki WooCommerce Customers Manager do wersji 29.8 lub nowszej, w której luka została załatana. W przypadku braku możliwości natychmiastowej aktualizacji, ogranicz dostęp do wtyczki tylko do zaufanych użytkowników oraz monitoruj logi pod kątem podejrzanych działań. Regularnie przeglądaj i stosuj zalecenia producenta dotyczące bezpieczeństwa.

Źródła

• NVD
• Reference