Плагин Meta Field Block для WordPress уязвим для небезопасных прямых объектов во всех версиях до 1.5.1. Это связано с плагином, позволяющим…

Плагин Meta Field Block для WordPress уязвим для небезопасных прямых объектов во всех версиях до 1.5.1. Это связано с плагином, позволяющим пользователям указывать произвольные идентификаторы объектов и типы объектов через атрибуты блока без проверки того, имеет ли аутентифицированный пользователь разрешение на доступ к метаданным запрашиваемого объекта. Это позволяет аутентифицированным злоумышленникам с доступом на уровне Участника и выше считывать произвольные мета-данные пользователя, пост-мета и мета-данные термина из любого объекта в базе данных. На сайтах, использующих плагины, которые хранят конфиденциальные данные в мета-полях (например, WooCommerce, выставление счетов / отправляя информацию), это может привести к раскрытию личной информации (PII), включая имена, адреса электронной почты, номера телефонов и физические адреса.