CVE-2024-8289: krytyczna luka w wtyczce MultiVendorX dla WordPress

Co wiadomo

Wtyczka MultiVendorX dla WooCommerce posiada krytyczną lukę pozwalającą na eskalację uprawnień i przejęcie konta poprzez niewystarczającą weryfikację uprawnień w funkcjach update_item_permissions_check oraz create_item_permissions_check. Atakujący bez uwierzytelnienia mogą zmieniać hasła użytkowników z rolą sprzedawcy, tworzyć nowych użytkowników z tą rolą oraz degradować administratorów do roli sprzedawcy.

Wpływ biznesowy

Luka o wysokim poziomie zagrożenia (CVSS 9.8) umożliwia nieautoryzowanym osobom pełną kontrolę nad kontami sprzedawców oraz wpływ na role użytkowników, co może prowadzić do poważnych naruszeń bezpieczeństwa i utraty kontroli nad sklepem internetowym. Operatorzy infrastruktury powinni traktować tę podatność jako krytyczną, zwłaszcza w środowiskach z wieloma sprzedawcami.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki MultiVendorX i ich wdrożenie. W przypadku braku łatki należy ograniczyć dostęp do panelu administracyjnego, monitorować logi pod kątem podejrzanych działań oraz rozważyć tymczasowe wyłączenie wtyczki. Priorytetowo należy przeprowadzić audyt uprawnień użytkowników i zmienić hasła kont z rolą sprzedawcy.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference