Analityczne wykorzystywanie plików cookies
Luka wtyczki Userback dla WordPress umożliwia nieautoryzowany dostęp do danych
Wtyczka Userback do WordPress umożliwia dostęp do poufnych danych przez użytkowników z poziomem Subskrybenta. Zalecana szybka aktualizacja i monitorowanie.
- CVSS
- 4.3 MEDIUM
- EPSS
- 11.68%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- -
Co wiadomo
Wtyczka Userback dla WordPress do wersji 1.0.15 włącznie posiada lukę pozwalającą uwierzytelnionym użytkownikom z poziomem Subskrybenta i wyższym na dostęp do konfiguracji wtyczki oraz zawartości stron i wpisów, w tym prywatnych i roboczych. Problem wynika z braku odpowiedniej weryfikacji uprawnień w funkcji userback_get_json.
Wpływ biznesowy
Atakujący z dostępem na poziomie Subskrybenta mogą wyeksfiltrować poufne dane konfiguracyjne, takie jak token API Userback, oraz treści witryny, co może prowadzić do naruszenia prywatności i bezpieczeństwa danych. Właściciele stron powinni rozważyć ryzyko wycieku danych i potencjalne konsekwencje dla reputacji oraz zgodności z regulacjami.
Rekomendowane działania administratora
Zaleca się jak najszybszą aktualizację wtyczki Userback do wersji po 1.0.15, jeśli jest dostępna. W przypadku braku aktualizacji należy ograniczyć dostęp użytkowników do poziomu Subskrybenta lub wyższego oraz monitorować logi pod kątem podejrzanych działań. Warto również przeprowadzić przegląd uprawnień i rozważyć tymczasowe wyłączenie wtyczki, jeśli to możliwe.