CVE-2024-1904: luka w MasterStudy LMS umożliwiająca nieautoryzowany dostęp do danych

Co wiadomo

Wtyczka MasterStudy LMS dla WordPressa ma lukę polegającą na braku sprawdzenia uprawnień w funkcji search_posts w wersjach do 3.2.13 włącznie. Pozwala to uwierzytelnionym użytkownikom z poziomem subskrybenta i wyższym na dostęp do tytułów i fragmentów szkiców postów.

Wpływ biznesowy

Ta luka może prowadzić do niezamierzonego ujawnienia treści szkiców postów, co może naruszyć poufność danych i wpłynąć na zarządzanie treścią w serwisie. Operatorzy CMS powinni zwrócić uwagę na potencjalne ryzyko wycieku informacji i odpowiednio zabezpieczyć swoje środowiska.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki MasterStudy LMS i ich wdrożenie. W przypadku braku łatki należy ograniczyć dostęp użytkowników do poziomu niższego niż subskrybent oraz monitorować logi pod kątem nieautoryzowanych prób dostępu. Warto również przeprowadzić przegląd uprawnień użytkowników i ograniczyć ekspozycję danych.

Źródła

• NVD
• Reference
• Reference