CVE-2026-1671: Nieautoryzowany dostęp do danych w wtyczce Activity Log for WordPress

Co wiadomo

Wtyczka Activity Log for WordPress do wersji 1.2.8 ma lukę umożliwiającą uwierzytelnionym użytkownikom z poziomem Subskrybenta i wyższym dostęp do wrażliwych danych w logach, takich jak hasła administratorów. Problem wynika z braku sprawdzenia uprawnień w funkcji winter_activity_log_action().

Wpływ biznesowy

Luka może prowadzić do wycieku poufnych informacji, co zagraża bezpieczeństwu witryny i jej użytkowników. Atakujący z niskim poziomem dostępu mogą uzyskać dane wyższych rangą użytkowników, co zwiększa ryzyko eskalacji uprawnień i dalszych ataków. Operatorzy CMS powinni traktować tę lukę jako istotne zagrożenie dla integralności i poufności danych.

Rekomendowane działania administratora

Zaleca się jak najszybszą aktualizację wtyczki do wersji po 1.2.8, w której luka została załatana. W przypadku braku możliwości natychmiastowej aktualizacji, należy ograniczyć dostęp użytkowników do poziomu Subskrybenta i wyższego oraz monitorować logi pod kątem nieautoryzowanych działań. Przegląd konfiguracji uprawnień i audyt bezpieczeństwa są wskazane.

Źródła

• NVD
• Reference
• Reference