Luka wtyczki Kali Forms dla WordPress umożliwia nieautoryzowany dostęp do danych formularzy

Co wiadomo

Wtyczka Kali Forms dla WordPress w wersjach do 2.4.8 ma lukę typu Insecure Direct Object Reference. Użytkownicy z uprawnieniami Contributor i wyższymi mogą odczytać konfiguracje formularzy innych użytkowników, w tym administratorów, poprzez enumerację identyfikatorów formularzy.

Wpływ biznesowy

Ta luka pozwala na nieautoryzowany dostęp do wrażliwych danych formularzy, takich jak struktury pól, klucze Google reCAPTCHA, szablony powiadomień e-mail oraz ścieżki serwera. Może to prowadzić do wycieku informacji i potencjalnego wykorzystania danych w dalszych atakach, co stanowi zagrożenie dla bezpieczeństwa i prywatności użytkowników oraz integralności systemu.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Kali Forms i ich wdrożenie. W przypadku braku łatki należy ograniczyć dostęp do REST API oraz monitorować logi pod kątem nietypowych zapytań do endpointu /kaliforms/v1/forms/{id}. Warto również przeprowadzić audyt uprawnień użytkowników i ograniczyć dostęp do minimalnego niezbędnego poziomu.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference