CVE-2024-8658: luka w wtyczce myCred dla WordPress i WooCommerce

Co wiadomo

Wtyczka myCred do WordPress i WooCommerce, służąca do zarządzania punktami lojalnościowymi i nagrodami, posiada lukę umożliwiającą nieautoryzowaną modyfikację danych poprzez brak weryfikacji uprawnień w funkcji mycred_update_database() we wszystkich wersjach do 2.7.3 włącznie. Atakujący bez uwierzytelnienia mogą zaktualizować przestarzałą bazę danych.

Wpływ biznesowy

Luka ta może prowadzić do nieautoryzowanych zmian w bazie danych punktów i nagród, co może zaburzyć system lojalnościowy i wpłynąć na zaufanie klientów oraz integralność danych. Operatorzy stron korzystających z myCred powinni rozważyć ryzyko manipulacji danymi i potencjalne skutki dla reputacji oraz operacji biznesowych.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki myCred u dostawcy oraz ich wdrożenie. W międzyczasie warto ograniczyć dostęp do funkcji aktualizacji bazy danych, monitorować logi pod kątem podejrzanych działań oraz weryfikować uprawnienia użytkowników. Priorytetem jest minimalizacja ekspozycji i szybka reakcja na potencjalne incydenty.

Źródła

• NVD
• Reference
• Reference