Плагин Contest Gallery WordPress до версии 30.0.7 не выполняет никаких функций или проверок nonce в одном из своих обработчиков, позволяя любому аутентифицированному пользователю вплоть до подписчика читать всю сохраненную историю подсказок OpenAI на сайте.
Показать оригинальное описание (EN)
The Contest Gallery WordPress plugin before 30.0.7 does not perform any capability or nonce check in one of its handlers, allowing any authenticated user down to Subscriber to read the site's entire stored OpenAI prompt history.
Характеристики атаки
Способ атаки
По сети
Атака возможна удалённо
Сложность
Низкая
Легко эксплуатировать
Нужны права
Низкие
Нужны базовые права
Участие пользователя
Не требуется
Не нужно действие пользователя
Последствия
Конфиденциальность
Низкое
Частичная утечка данных
Целостность
Нет
Нет модификации данных
Доступность
Нет
Нет нарушения работы
Строка CVSS v3.1