Analytical use of cookies
Уразливість Insecure Direct Object Reference у User Shortcodes Plus для WordPress
Плагін User Shortcodes Plus має уразливість IDOR, що дозволяє отримати конфіденційні дані користувачів. Рекомендується оновлення та обмеження доступу.
- CVSS
- 4.3 MEDIUM
- EPSS
- 38.15%
- Активно використовується
- немає в KEV
- Продукт
- user shortcodes plus
Що відомо
Плагін User Shortcodes Plus для WordPress має уразливість Insecure Direct Object Reference у версіях до 2.0.2 включно через відсутність перевірки ключа, керованого користувачем, у шорткоді user_meta. Це дозволяє автентифікованим користувачам з рівнем доступу не нижче контриб’ютора отримувати потенційно конфіденційну метаінформацію користувачів.
Бізнес-вплив
Для власників веб-інфраструктури це означає ризик витоку персональних даних користувачів через несанкціонований доступ до метаданих. Зловмисники з обмеженим доступом можуть отримати додаткову інформацію, що може бути використана для подальших атак або компрометації системи. Важливо оцінити вплив на конфіденційність і цілісність даних у вашому середовищі.
Рекомендовані дії адміністратора
Рекомендується перевірити наявність оновлень плагіна User Shortcodes Plus від розробника та застосувати їх у разі доступності. Якщо оновлення відсутні, слід обмежити доступ користувачів з рівнем контриб’ютора і вище до функцій, що використовують шорткод user_meta, а також переглянути журнали доступу на предмет підозрілої активності. Загалом, варто мінімізувати експозицію вразливого функціоналу та пріоритезувати його усунення.