CVE-2024-8269: Luka wtyczki mstore api umożliwiająca nieautoryzowaną rejestrację użytkowników

Co wiadomo

Wtyczka MStore API dla WordPressa, służąca do tworzenia natywnych aplikacji Android i iOS, zawiera lukę pozwalającą na nieautoryzowaną rejestrację użytkowników we wszystkich wersjach do 4.15.3 włącznie. Problem wynika z braku weryfikacji, czy rejestracja użytkowników jest włączona przed utworzeniem konta przez funkcję register().

Wpływ biznesowy

Luka umożliwia atakującym tworzenie kont użytkowników nawet wtedy, gdy rejestracja jest wyłączona i funkcje wtyczki nie są aktywne. Może to prowadzić do nieautoryzowanego dostępu, eskalacji uprawnień lub nadużyć w systemie zarządzania treścią, co stanowi poważne zagrożenie dla bezpieczeństwa i integralności serwisu.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki u dostawcy oraz ich wdrożenie. W międzyczasie warto ograniczyć ekspozycję serwisu, monitorować logi pod kątem podejrzanych rejestracji oraz zweryfikować ustawienia rejestracji użytkowników. Priorytetowo traktuj aktualizacje i audyt bezpieczeństwa wtyczek WordPress.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference