CVE-2024-3897: Nieautoryzowany dostęp do danych w wtyczce Popup Box dla WordPress

Co wiadomo

Wtyczka Popup Box – Best WordPress Popup Plugin do wersji 4.3.6 ma lukę umożliwiającą nieautoryzowany dostęp do danych poprzez brak sprawdzenia uprawnień w akcji AJAX ays_pb_create_author. Atakujący mogą wyliczyć wszystkie zarejestrowane na stronie adresy e-mail.

Wpływ biznesowy

Luka pozwala na wyciek adresów e-mail użytkowników witryny, co może prowadzić do naruszenia prywatności oraz zwiększenia ryzyka ataków phishingowych i spamowych. Operatorzy stron powinni traktować tę podatność jako istotne zagrożenie dla bezpieczeństwa danych użytkowników i reputacji serwisu.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Popup Box i ich instalację. W przypadku braku łatki należy ograniczyć dostęp do funkcji AJAX, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie wtyczki. Priorytetowo należy ocenić ekspozycję serwisu i wdrożyć dodatkowe mechanizmy kontroli dostępu.

Źródła

• NVD
• Reference
• Reference