Luka wtyczki SimpleShop dla WordPress umożliwia nieautoryzowane rozłączenie

Co wiadomo

Wtyczka SimpleShop dla WordPress do wersji 2.10.2 włącznie posiada lukę umożliwiającą nieautoryzowanym atakującym rozłączenie SimpleShop poprzez brak odpowiedniej weryfikacji uprawnień w funkcji maybe_disconnect_simpleshop. Luka ta może być wykorzystana bez uwierzytelnienia.

Wpływ biznesowy

Atakujący mogą zdalnie rozłączyć usługę SimpleShop, co może prowadzić do przerw w działaniu sklepu internetowego oraz potencjalnych strat finansowych i utraty zaufania klientów. Administratorzy powinni traktować tę lukę jako średniego ryzyka, zwłaszcza w środowiskach, gdzie wtyczka jest aktywnie wykorzystywana do obsługi transakcji.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki SimpleShop u jej dostawcy oraz ich wdrożenie. W międzyczasie warto ograniczyć dostęp do funkcji rozłączania SimpleShop tylko do zaufanych użytkowników, monitorować logi pod kątem podejrzanych działań oraz ocenić ekspozycję systemu na ataki z zewnątrz.

Źródła

• NVD
• Reference
• Reference
• Reference