Analityczne wykorzystywanie plików cookies
Luka w JetFormBuilder dla WordPress umożliwia obejście autoryzacji i wyciek danych
Wtyczka JetFormBuilder do WordPress ma lukę umożliwiającą nieautoryzowany dostęp do danych klientów WooCommerce. Sprawdź zalecenia bezpieczeństwa.
- CVSS
- 5.3 MEDIUM
- EPSS
- 25.79%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- -
Co wiadomo
Wtyczka JetFormBuilder dla WordPress do wersji 3.6.3 ma lukę pozwalającą nieautoryzowanym użytkownikom na dostęp do wartości przechowywanych w wp_postmeta, w tym danych osobowych klientów WooCommerce. Wykorzystanie wymaga istnienia opublikowanego formularza z polem generowanym z bazy danych.
Wpływ biznesowy
Luka umożliwia atakującym dostęp do poufnych informacji, takich jak adresy e-mail, numery telefonów, adresy rozliczeniowe oraz dane zamówień i tokeny innych wtyczek, co może prowadzić do naruszenia prywatności klientów i utraty zaufania. Operatorzy stron korzystających z JetFormBuilder powinni traktować tę podatność jako istotne zagrożenie dla bezpieczeństwa danych.
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki JetFormBuilder i ich wdrożenie. W przypadku braku łatki należy ograniczyć dostęp do formularzy oraz monitorować logi pod kątem podejrzanych żądań. Warto również przeprowadzić audyt przechowywanych danych i rozważyć ograniczenie ujawniania wrażliwych informacji w metadanych WordPress.