CVE-2024-9654: luka w wtyczce Easy Digital Downloads dla WordPress

Co wiadomo

Wtyczka Easy Digital Downloads w wersjach 3.1 do 3.3.4 posiada lukę w mechanizmie autoryzacji, która pozwala nieautoryzowanym użytkownikom na dostęp do paragonów innych klientów. Luka wynika z niewystarczającej weryfikacji w funkcji 'verify_guest_email', umożliwiając przeglądanie linków do płatnych treści bez odpowiednich uprawnień.

Wpływ biznesowy

Atakujący znający adres e-mail innego klienta oraz identyfikator pliku mogą uzyskać dostęp do jego paragonów i pobrać płatne materiały, co może prowadzić do nieautoryzowanego rozpowszechniania treści i strat finansowych. Dla operatorów IT oznacza to konieczność szybkiego zweryfikowania i zabezpieczenia instalacji, aby zapobiec wyciekom danych i nadużyciom.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Easy Digital Downloads u dostawcy oraz ich wdrożenie. W międzyczasie warto ograniczyć dostęp do funkcji generujących paragony, monitorować logi pod kątem podejrzanych działań oraz zweryfikować uprawnienia użytkowników. Priorytetem jest minimalizacja ekspozycji i szybka reakcja na potencjalne incydenty.

Źródła

• NVD
• Reference
• Reference