Уразливість у плагіні Display custom fields in the frontend – витік метаданих постів

Що відомо

Плагін Display custom fields in the frontend – Post and User Profile Fields для WordPress має уразливість Insecure Direct Object Reference (IDOR) у версіях до 1.2.1 включно. Зловмисники з рівнем доступу не нижче контриб’ютора можуть отримати доступ до потенційно конфіденційних метаданих постів через відсутність належної валідації ключів у шорткоді vg_display_data.

Бізнес-вплив

Уразливість дозволяє аутентифікованим користувачам з обмеженими правами отримувати доступ до метаданих постів, що може призвести до витоку конфіденційної інформації. Це підвищує ризик компрометації контенту та порушення політик безпеки, особливо у великих WordPress-сайтах з багатьма користувачами.

Рекомендовані дії адміністратора

Адміністраторам рекомендується перевірити наявність оновлень плагіна від josevega та застосувати їх у разі доступності. Якщо оновлення відсутні, слід обмежити доступ користувачів до ролей з правами контриб’ютора і вище, провести аудит логів на предмет підозрілої активності та розглянути тимчасове відключення плагіна для зниження ризику.

Джерела

• NVD
• Reference
• Reference