Analityczne wykorzystywanie plików cookies
CVE-2024-13528: luka w wtyczce Customer Email Verification for WooCommerce umożliwiająca obejście uwierzytelniania
Wtyczka WooCommerce Customer Email Verification ma lukę umożliwiającą obejście uwierzytelniania. Sprawdź zalecenia i zabezpiecz swój sklep.
- CVSS
- 7.5 HIGH
- EPSS
- 37.9%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- customer email verification for woocommerce
Co wiadomo
Wtyczka Customer Email Verification for WooCommerce do WordPressa jest podatna na obejście uwierzytelniania w wersjach do 2.9.5 włącznie. Luka pozwala użytkownikom z uprawnieniami co najmniej na poziomie Współpracownika na wygenerowanie linku weryfikacyjnego dla dowolnego niezweryfikowanego użytkownika i zalogowanie się na jego konto, jeśli opcja „Fine tune placement” jest włączona.
Wpływ biznesowy
Atakujący z uprawnieniami Contributor lub wyższymi mogą uzyskać dostęp do kont innych użytkowników bez ich zgody, co stwarza poważne ryzyko naruszenia danych i utraty kontroli nad kontami klientów. Może to prowadzić do utraty zaufania klientów oraz potencjalnych strat finansowych i reputacyjnych dla właścicieli sklepów WooCommerce.
Rekomendowane działania administratora
Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki u dostawcy oraz jej instalację. W międzyczasie ogranicz uprawnienia użytkowników do niezbędnego minimum, wyłącz opcję „Fine tune placement” w ustawieniach wtyczki oraz monitoruj logi pod kątem podejrzanych aktywności związanych z weryfikacją kont.