Luka wtyczki MIMO Woocommerce Order Tracking umożliwia nieautoryzowaną modyfikację danych

Co wiadomo

Wtyczka MIMO Woocommerce Order Tracking dla WordPressa do wersji 1.0.2 zawiera lukę pozwalającą na modyfikację danych przez użytkowników z uprawnieniami subskrybenta i wyższymi. Brak odpowiedniej weryfikacji uprawnień w funkcji 'mimo_update_provider' umożliwia aktualizację informacji o dostawcy przesyłek, w tym wstrzyknięcie skryptów cross-site scripting.

Wpływ biznesowy

Atakujący z dostępem na poziomie subskrybenta mogą zmieniać dane dotyczące dostawców przesyłek, co może prowadzić do wprowadzenia złośliwych skryptów i potencjalnego naruszenia bezpieczeństwa witryny oraz danych użytkowników. Może to wpłynąć na reputację firmy i zaufanie klientów korzystających z platformy e-commerce.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki u jej dostawcy i wdrożenie najnowszej wersji. W międzyczasie warto ograniczyć dostęp użytkowników do poziomu subskrybenta oraz monitorować logi pod kątem podejrzanych działań związanych z aktualizacją danych dostawców przesyłek. Priorytetowo traktuj audyt uprawnień użytkowników i zabezpieczenie środowiska WordPress.

Źródła

• NVD
• Reference
• Reference