Luka w RTMKit WordPress umożliwia nieautoryzowany dostęp do zgłoszeń formularzy

Co wiadomo

Wtyczka RTMKit dla WordPress w wersjach do 2.0.7 ma lukę pozwalającą użytkownikom z uprawnieniami Contributor i wyższymi na przeglądanie zgłoszeń formularzy innych użytkowników bez odpowiedniej autoryzacji. Problem wynika z braku weryfikacji uprawnień w punkcie końcowym AJAX get_submission_content.

Wpływ biznesowy

Atakujący z dostępem Contributor mogą uzyskać dostęp do danych zgłoszeń formularzy innych użytkowników, co może prowadzić do wycieku poufnych informacji i naruszenia prywatności. Organizacje korzystające z tej wtyczki powinny traktować tę lukę poważnie, zwłaszcza jeśli formularze zawierają wrażliwe dane.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki RTMKit i ich zastosowanie. W przypadku braku łatki należy ograniczyć dostęp użytkowników do poziomu Contributor i wyższego oraz monitorować logi pod kątem nieautoryzowanych prób dostępu do zgłoszeń formularzy. Warto również rozważyć tymczasowe wyłączenie funkcji AJAX get_submission_content, jeśli to możliwe.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference