CVE-2024-6455: luka wtyczki ElementsKit Elementor umożliwia nieautoryzowany dostęp do treści

Co wiadomo

Wtyczka ElementsKit Elementor dla WordPress w wersjach do 3.2.0 włącznie posiada lukę umożliwiającą nieautoryzowanym użytkownikom podgląd dowolnych elementów stworzonych w Elementorze, takich jak posty, strony i szablony, w tym wersje robocze, oczekujące i prywatne. Problem wynika z braku odpowiednich kontroli uprawnień w funkcji ekit_widgetarea_content.

Wpływ biznesowy

Luka ta może prowadzić do wycieku poufnych informacji zawartych w nieopublikowanych lub prywatnych treściach WordPress, co stanowi zagrożenie dla prywatności i bezpieczeństwa danych firmowych. Administratorzy stron korzystających z tej wtyczki powinni traktować to jako istotne ryzyko, zwłaszcza jeśli witryny zawierają wrażliwe lub poufne materiały.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki ElementsKit Elementor i ich wdrożenie. W przypadku braku łatki należy ograniczyć dostęp do witryny, monitorować logi pod kątem podejrzanych aktywności oraz rozważyć tymczasowe wyłączenie wtyczki. Należy również przeprowadzić przegląd uprawnień i zabezpieczeń środowiska WordPress.

Źródła

• NVD
• Reference
• Reference