CVE-2021-4353: luka w WooCommerce Dynamic Pricing & Discounts umożliwiająca nieautoryzowany eksport ustawień

Co wiadomo

Wtyczka WooCommerce Dynamic Pricing and Discounts dla WordPressa w wersjach do 2.4.1 włącznie posiada lukę pozwalającą na nieautoryzowany eksport ustawień. Brak odpowiedniej autoryzacji w funkcji export() umożliwia atakującym bez logowania pobranie konfiguracji wtyczki.

Wpływ biznesowy

Luka ta może prowadzić do wycieku poufnych danych konfiguracyjnych sklepu internetowego, co może ułatwić dalsze ataki lub manipulacje cenami i rabatami. Operatorzy IT powinni zwrócić uwagę na potencjalne ryzyko związane z nieautoryzowanym dostępem do ustawień wtyczek e-commerce, co może wpłynąć na integralność i bezpieczeństwo platformy sprzedażowej.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki WooCommerce Dynamic Pricing and Discounts u dostawcy oraz ich wdrożenie. W międzyczasie warto ograniczyć dostęp do funkcji eksportu ustawień, monitorować logi serwera pod kątem podejrzanych żądań oraz ograniczyć ekspozycję panelu administracyjnego. Priorytetem jest szybka weryfikacja i aktualizacja wtyczek WordPressa, szczególnie tych związanych z handlem elektronicznym.

Źródła

• NVD
• Reference
• Reference