Podatność w rozszerzeniach Regular Labs dla platformy Joomla powoduje, że mechanizm Smart Search podczas indeksowania treści używa tożsamości administratora zamiast niezalogowanego gościa. W efekcie treści zastrzeżone lub przeznaczone wyłącznie dla administratorów mogą trafić do publicznego indeksu wyszukiwania i zostać ujawnione zwykłym odwiedzającym witrynę.
▸ Pokaż oryginał (EN)
Joomla Extension - regularlabs.com - disclosure of restricted content via search index in various Regular Labs extensions - Smart Search indexing could render generated content using the indexing administrator’s identity instead of a public guest. Restricted or administrator-only content could consequently be stored in the public search index and disclosed to visitors.
Podczas indeksowania treści przez moduł Smart Search rozszerzenia Regular Labs, proces ten działa w kontekście tożsamości administratora wykonującego indeksowanie, zamiast symulować dostęp anonimowego użytkownika (gościa publicznego). Powoduje to, że generowane przez rozszerzenia treści, które normalnie są dostępne tylko dla zalogowanych administratorów lub użytkowników z podwyższonymi uprawnieniami, zostają uwzględnione w publicznym indeksie wyszukiwania. Odwiedzający witrynę bez żadnych uprawnień mogą następnie odnaleźć i odczytać te zastrzeżone treści za pośrednictwem wyników wyszukiwania.
Nieuprawniony dostęp do treści zastrzeżonych lub przeznaczonych wyłącznie dla administratorów — atakujący (lub zwykły odwiedzający) może odczytać poufne informacje opublikowane w indeksie wyszukiwania bez konieczności posiadania jakichkolwiek uprawnień.
Należy zastosować patche dostępne u producenta zgodnie z referencjami (https://regularlabs.com/). Do czasu aktualizacji zaleca się rozważenie wyłączenia funkcji Smart Search indexing dla komponentów Regular Labs lub ograniczenie dostępu publicznego do indeksu wyszukiwania.
Różne rozszerzenia Regular Labs (regularlabs.com) dla platformy Joomla korzystające z funkcji Smart Search — konkretne wersje wskazane w referencjach producenta
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N