CVE-2024-4319: Nieautoryzowany dostęp do danych w wtyczce Advanced Contact form 7 DB dla WordPress

Co wiadomo

Wtyczka Advanced Contact form 7 DB dla WordPress w wersjach do 2.0.2 włącznie posiada lukę umożliwiającą nieautoryzowany dostęp do danych formularzy. Brak sprawdzenia uprawnień w funkcji 'vsz_cf7_export_to_excel' pozwala atakującym na pobranie danych przesłanych formularzy bez uwierzytelnienia.

Wpływ biznesowy

Luka ta może prowadzić do wycieku danych przesłanych przez użytkowników za pomocą formularzy kontaktowych, co stanowi ryzyko naruszenia prywatności i bezpieczeństwa informacji. Organizacje korzystające z tej wtyczki mogą być narażone na utratę zaufania klientów oraz potencjalne konsekwencje prawne związane z ochroną danych osobowych.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki u jej dostawcy oraz ich wdrożenie. W międzyczasie warto ograniczyć dostęp do funkcji eksportu danych tylko do zaufanych użytkowników, monitorować logi serwera pod kątem podejrzanej aktywności oraz ocenić ekspozycję formularzy na stronie. Priorytetowo traktuj aktualizacje zabezpieczeń i przegląd uprawnień użytkowników.

Źródła

• NVD
• Reference
• Reference
• Reference