Luka IDOR w wtyczce Booking Calendar Contact Form dla WordPress

Co wiadomo

Wtyczka Booking Calendar Contact Form do WordPressa w wersjach do 1.2.63 zawiera lukę typu Insecure Direct Object Reference (IDOR) w pliku dex_bccf_admin_int_calendar_list.inc.php. Umożliwia to uwierzytelnionym użytkownikom z uprawnieniami subskrybenta i wyższymi przejęcie kalendarzy innych użytkowników oraz dostęp do powiązanych danych.

Wpływ biznesowy

Atakujący z dostępem subskrybenta mogą uzyskać nieautoryzowany dostęp do kalendarzy innych użytkowników, co może prowadzić do wycieku danych osobowych i naruszenia prywatności. W środowiskach biznesowych może to skutkować utratą zaufania klientów oraz potencjalnymi konsekwencjami prawnymi związanymi z ochroną danych.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki u jej dostawcy i wdrożenie poprawek. W międzyczasie warto ograniczyć dostęp do panelu administracyjnego tylko do zaufanych użytkowników, monitorować logi pod kątem nietypowych działań oraz przeprowadzić przegląd uprawnień użytkowników, aby minimalizować ryzyko wykorzystania luki.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference