CVE-2024-12826: Luka w GoHero Store Customizer dla WooCommerce umożliwia nieautoryzowaną modyfikację danych

Co wiadomo

Wtyczka GoHero Store Customizer dla WooCommerce w WordPressie ma lukę pozwalającą nieautoryzowanym użytkownikom na modyfikację niektórych ustawień wtyczki poprzez brak odpowiedniej weryfikacji uprawnień w funkcji wooh_action_settings_save_frontend(). Luka dotyczy wszystkich wersji do 3.5 włącznie.

Wpływ biznesowy

Atakujący bez uwierzytelnienia mogą zmienić ograniczone ustawienia wtyczki, co może prowadzić do niepożądanych zmian w działaniu sklepu internetowego opartego na WooCommerce. Choć luka ma umiarkowany poziom ryzyka, może wpłynąć na integralność konfiguracji i zaufanie użytkowników.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki GoHero Store Customizer i ich wdrożenie. W międzyczasie warto ograniczyć dostęp do funkcji zapisu ustawień oraz monitorować logi pod kątem podejrzanych działań. Priorytetowo należy ocenić ekspozycję wtyczki i wprowadzić odpowiednie środki zabezpieczające.

Źródła

• NVD
• Reference
• Reference
• Reference