Analityczne wykorzystywanie plików cookies
Luka PHP Object Injection w wtyczce BuddyPress WooCommerce My Account Integration
Wtyczka BuddyPress WooCommerce My Account Integration podatna na PHP Object Injection umożliwiającą ataki z poziomu subskrybenta. Zalecane szybkie aktualizacje i monitoring.
- CVSS
- 8.8 HIGH
- EPSS
- 53.51%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- -
Co wiadomo
Wtyczka WordPress "BuddyPress WooCommerce My Account Integration" do wersji 3.4.20 jest podatna na PHP Object Injection poprzez deserializację niezaufanych danych w funkcji get_simple_request. Atakujący z uprawnieniami subskrybenta lub wyższymi mogą wstrzyknąć obiekt PHP, co przy obecności odpowiedniego łańcucha POP w innych wtyczkach lub motywach może prowadzić do usunięcia plików, wycieku danych lub wykonania złośliwego kodu.
Wpływ biznesowy
Podatność ta stanowi poważne zagrożenie dla bezpieczeństwa witryn opartych na WordPress z zainstalowaną podatną wtyczką, umożliwiając atakującym eskalację uprawnień i potencjalne przejęcie kontroli nad systemem. Może to skutkować utratą danych, przerwami w działaniu usług oraz naruszeniem poufności informacji, co negatywnie wpływa na reputację i operacje biznesowe.
Rekomendowane działania administratora
Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki u jej dostawcy i wdrożenie najnowszej wersji. W przypadku braku łatki należy ograniczyć dostęp użytkowników do minimum, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie wtyczki. Warto również przeprowadzić audyt innych zainstalowanych wtyczek i motywów pod kątem obecności łańcuchów POP, które mogą zostać wykorzystane w ataku.