CVE-2024-2472
KrytyczneStreszczenie
Wtyczka LatePoint Plugin dla WordPressa jest podatna na nieautoryzowany dostęp do danych oraz ich modyfikację z powodu braku sprawdzenia uprawnień w funkcji 'start_or_use_session_for_customer' we wszystkich wersjach do 4.9.9 włącznie. Umożliwia to nieautoryzowanym atakującym przeglądanie szafek innych klientów oraz zmianę haseł użytkowników LatePoint.
Ocena ryzyka
Organizacja narażona jest na wyciek danych osobowych, takich jak adresy e-mail, oraz na możliwość nieautoryzowanej zmiany haseł użytkowników, co może prowadzić do dalszych naruszeń bezpieczeństwa.
Rekomendacja
Zaleca się aktualizację wtyczki LatePoint Plugin do najnowszej wersji, aby usunąć tę podatność oraz wdrożenie dodatkowych środków zabezpieczających, takich jak monitorowanie dostępu do danych.
Oryginalny opis (angielski, źródło NVD)
The LatePoint Plugin plugin for WordPress is vulnerable to unauthorized access of data and modification of data due to a missing capability check on the 'start_or_use_session_for_customer' function in all versions up to and including 4.9.9. This makes it possible for unauthenticated attackers to view other customer's cabinets, including the ability to view PII such as email addresses and to change their LatePoint user password, which may or may not be associated with a WordPress account.