CVE-2024-1995: Nieautoryzowany dostęp do danych w wtyczce Smart Custom Fields dla WordPress

Co wiadomo

Wtyczka Smart Custom Fields dla WordPress do wersji 4.2.2 włącznie posiada lukę umożliwiającą uwierzytelnionym użytkownikom z poziomem subskrybenta lub wyższym dostęp do chronionych hasłem i prywatnych treści postów. Problem wynika z braku odpowiedniej weryfikacji uprawnień w funkcji relational_posts_search().

Wpływ biznesowy

Atakujący z kontem subskrybenta mogą uzyskać dostęp do poufnych treści, które normalnie są chronione hasłem lub ustawione jako prywatne, co może prowadzić do wycieku wrażliwych informacji. Organizacje korzystające z tej wtyczki powinny rozważyć ryzyko naruszenia prywatności danych oraz potencjalne szkody dla reputacji.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Smart Custom Fields i ich wdrożenie. W przypadku braku łatki, ogranicz dostęp do kont subskrybentów i wyższych oraz monitoruj logi pod kątem podejrzanej aktywności. Przeprowadź przegląd uprawnień użytkowników i priorytetyzuj działania minimalizujące ryzyko wycieku danych.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference