Krytyczna luka w wtyczce Themes Coder umożliwia przejęcie konta w WordPress

Co wiadomo

Wtyczka Themes Coder – Create Android & iOS Apps For Your Woocommerce Site dla WordPress do wersji 1.3.4 zawiera krytyczną lukę pozwalającą na eskalację uprawnień poprzez przejęcie konta. Atakujący mogą zmienić hasła dowolnych użytkowników, w tym administratorów, bez uwierzytelnienia.

Wpływ biznesowy

Luka umożliwia nieautoryzowanym osobom zmianę haseł użytkowników i uzyskanie dostępu do kont z wysokimi uprawnieniami, co może prowadzić do pełnego przejęcia witryny, utraty danych i zakłóceń w działaniu serwisu. Operatorzy IT powinni traktować tę podatność jako krytyczną i priorytetowo podejść do jej eliminacji, aby zabezpieczyć infrastrukturę i dane klientów.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie wersji wtyczki Themes Coder i aktualizację do najnowszej dostępnej wersji, jeśli została wydana poprawka. W przypadku braku aktualizacji należy ograniczyć dostęp do panelu administracyjnego, monitorować logi pod kątem podejrzanych zmian haseł oraz rozważyć tymczasowe wyłączenie wtyczki. Ponadto warto przeprowadzić przegląd kont użytkowników i wymusić zmianę haseł, szczególnie dla administratorów.

Źródła

• NVD
• Reference
• Reference
• Reference