CVE-2024-9109: luka w wtyczce WooCommerce UPS Shipping umożliwiająca nieautoryzowaną modyfikację danych

Co wiadomo

Wtyczka WooCommerce UPS Shipping – Live Rates and Access Points dla WordPressa posiada lukę pozwalającą na usunięcie klucza API przez użytkowników z uprawnieniami subskrybenta i wyższymi. Problem wynika z braku weryfikacji uprawnień w funkcji delete_oauth_data we wszystkich wersjach do 2.3.12 włącznie.

Wpływ biznesowy

Atakujący z dostępem na poziomie subskrybenta mogą usunąć klucz API wtyczki, co może prowadzić do przerw w integracji z usługą UPS i zakłóceń w procesach wysyłkowych. Może to wpłynąć na obsługę klienta i operacje e-commerce, szczególnie w firmach korzystających z tej wtyczki do zarządzania wysyłkami.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki WooCommerce UPS Shipping i ich zastosowanie. W międzyczasie warto ograniczyć dostęp użytkowników do poziomu subskrybenta oraz monitorować logi pod kątem nieautoryzowanych działań związanych z kluczem API. Wdrożenie zasad minimalnych uprawnień i przegląd konfiguracji bezpieczeństwa wtyczek jest wskazane.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference