Krytyczna luka eskalacji uprawnień w wtyczce PayU CommercePro dla WordPress

Co wiadomo

Wtyczka PayU CommercePro dla WordPress w wersjach do 3.8.3 włącznie posiada krytyczną lukę pozwalającą na eskalację uprawnień. Niewłaściwa weryfikacja tożsamości użytkownika w endpointach REST API umożliwia nieautoryzowanym atakującym tworzenie kont administratorów.

Wpływ biznesowy

Luka o wysokim poziomie ryzyka (CVSS 9.8) może prowadzić do przejęcia pełnej kontroli nad stroną WordPress poprzez utworzenie konta administratora. To zagraża integralności i dostępności serwisu oraz może skutkować wyciekiem danych lub dalszymi atakami na infrastrukturę IT.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki PayU CommercePro i ich wdrożenie. W przypadku braku łatki należy ograniczyć dostęp do endpointów REST API, monitorować logi pod kątem podejrzanych aktywności oraz priorytetyzować działania naprawcze w oparciu o ryzyko.

Źródła

• NVD
• Reference
• Reference
• Reference