Luka bezpieczeństwa w WooCommerce Wishlist umożliwiająca nieautoryzowany dostęp do danych

Co wiadomo

Wtyczka WooCommerce Wishlist do WordPressa w wersjach do 1.8.7 włącznie posiada lukę typu Insecure Direct Object Reference w funkcji download_pdf_file(), co pozwala nieautoryzowanym atakującym na dostęp do danych list życzeń innych użytkowników. Luka wynika z braku odpowiedniej walidacji klucza kontrolowanego przez użytkownika.

Wpływ biznesowy

Ta luka może prowadzić do wycieku poufnych danych z list życzeń użytkowników, co zagraża prywatności i może naruszyć zaufanie klientów. Operatorzy sklepów internetowych korzystających z tej wtyczki powinni traktować tę podatność jako wysokiego ryzyka, zwłaszcza w kontekście ochrony danych osobowych i zgodności z regulacjami.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki WooCommerce Wishlist u dostawcy oraz ich wdrożenie. W międzyczasie warto ograniczyć dostęp do funkcji pobierania plików PDF oraz monitorować logi serwera pod kątem podejrzanych żądań. Należy również rozważyć ograniczenie uprawnień użytkowników i przeprowadzić audyt bezpieczeństwa środowiska WordPress.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference