CVE-2026-0717: Ujawnienie wrażliwych danych w wtyczce LottieFiles dla WordPress

Co wiadomo

Wtyczka LottieFiles – Lottie block for Gutenberg dla WordPress do wersji 3.0.0 umożliwia nieautoryzowanym atakującym dostęp do danych konta LottieFiles właściciela strony poprzez endpoint REST API /wp-json/lottiefiles/v1/settings/. Ujawniane są m.in. token API i adres e-mail, jeśli opcja udostępniania konta innym użytkownikom WordPress jest włączona.

Wpływ biznesowy

Narażenie danych uwierzytelniających LottieFiles może prowadzić do nieautoryzowanego dostępu do zasobów i usług powiązanych z kontem, co stwarza ryzyko dalszych ataków lub nadużyć. Operatorzy stron korzystających z tej wtyczki powinni rozważyć wpływ na bezpieczeństwo i prywatność użytkowników oraz potencjalne konsekwencje dla reputacji i ciągłości działania.

Rekomendowane działania administratora

Zaleca się jak najszybsze zaktualizowanie wtyczki do wersji po 3.0.0, jeśli dostępna, lub wyłączenie opcji „Share LottieFiles account with other WordPress users”. W przypadku braku aktualizacji należy ograniczyć dostęp do endpointu REST API, monitorować logi pod kątem podejrzanej aktywności oraz przeprowadzić przegląd uprawnień i konfiguracji wtyczki.

Źródła

• NVD
• Reference
• Reference
• Reference