Уразливість витоку конфіденційної інформації в плагіні PowerBI Embed Reports для WordPress

Що відомо

Плагін PowerBI Embed Reports для WordPress версій до 1.2.0 включно має уразливість, що дозволяє неавторизованим користувачам отримувати доступ до конфіденційної інформації користувачів Azure AD через відсутність перевірки прав доступу на кінцевій точці 'testUser'.

Бізнес-вплив

Ця уразливість може призвести до розкриття особистих даних користувачів, таких як імена, електронна пошта, телефони та відомості про відділ, а також технічної інформації про OAuth, що може бути використано для подальших атак або компрометації облікових записів. Власники інфраструктури повинні оцінити ризики витоку даних та можливі наслідки для безпеки.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна від виробника та застосувати їх за наявності. Якщо оновлення недоступні, слід обмежити доступ до плагіна, провести аудит логів на предмет підозрілої активності та впровадити додаткові заходи контролю доступу для зменшення ризику експлуатації уразливості.

Джерела

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference