Luka wtyczki GenerateBlocks dla WordPress umożliwia nieautoryzowany dostęp do danych postów

Co wiadomo

Wtyczka GenerateBlocks dla WordPress do wersji 2.2.0 włącznie posiada lukę typu Insecure Direct Object Reference w REST API, która pozwala użytkownikom z uprawnieniami Contributor i wyższymi na dostęp do danych postów, do których normalnie nie mają dostępu. Luka wynika z braku weryfikacji uprawnień do konkretnych postów w endpointzie dynamic-tag-replacements.

Wpływ biznesowy

Atakujący z kontem Contributor lub wyższym mogą wykorzystać tę lukę do wykradzenia poufnych informacji, takich jak adresy e-mail autorów czy niechronione metadane postów, co może prowadzić do naruszenia prywatności i potencjalnych dalszych ataków socjotechnicznych. Właściciele stron i administratorzy powinni zwrócić uwagę na możliwość wycieku danych i ryzyko reputacyjne.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki GenerateBlocks i ich instalację. W międzyczasie warto ograniczyć dostęp do REST API tylko do zaufanych użytkowników oraz monitorować logi pod kątem nietypowych zapytań do endpointu /wp-json/generateblocks/v1/dynamic-tag-replacements. Priorytetem jest szybka weryfikacja i wdrożenie poprawek od dostawcy.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference