Luka w The Events Calendar dla WordPress umożliwia nieautoryzowany dostęp do szkiców wydarzeń

Co wiadomo

Wtyczka The Events Calendar dla WordPress do wersji 6.15.9 ma lukę pozwalającą użytkownikom z uprawnieniami subskrybenta i wyższymi na dostęp do nazw szkiców wydarzeń oraz generowanie i podgląd kodów QR dla tych wydarzeń. Problem wynika z braku odpowiedniej weryfikacji uprawnień na końcówce AJAX 'tec_qr_code_modal'.

Wpływ biznesowy

Atakujący z kontem subskrybenta mogą uzyskać dostęp do informacji o nieopublikowanych wydarzeniach, co może prowadzić do wycieku poufnych danych lub narażenia planowanych wydarzeń na nieautoryzowany podgląd. Może to wpłynąć na reputację organizacji oraz wymagać dodatkowych działań zabezpieczających i audytów.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki The Events Calendar i ich wdrożenie. W międzyczasie warto ograniczyć dostęp do kont z uprawnieniami subskrybenta oraz monitorować logi pod kątem nietypowych żądań do endpointu 'tec_qr_code_modal'. Przegląd uprawnień użytkowników i minimalizacja dostępu mogą zmniejszyć ryzyko wykorzystania luki.

Źródła

• NVD
• Reference
• Reference
• Reference