Analityczne wykorzystywanie plików cookies
Krytyczna luka uwierzytelniania w wtyczce WP Directorybox Manager dla WordPress
Krytyczna luka wtyczki WP Directorybox Manager umożliwia atakującym ominięcie uwierzytelniania i przejęcie kont administratora WordPress. Sprawdź zalecenia bezpieczeństwa.
- CVSS
- 9.8 CRITICAL
- EPSS
- 50.15%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- -
Co wiadomo
Wtyczka WP Directorybox Manager dla WordPress w wersjach do 2.5 włącznie posiada krytyczną lukę umożliwiającą ominięcie uwierzytelniania. Błąd w funkcji wp_dp_enquiry_agent_contact_form_submit_callback pozwala nieautoryzowanym atakującym zalogować się jako dowolny użytkownik, w tym administrator, znając jedynie nazwę użytkownika.
Wpływ biznesowy
Luka o wysokim poziomie ryzyka (CVSS 9.8) umożliwia atakującym przejęcie kont z uprawnieniami administratora, co może prowadzić do pełnej kompromitacji serwisu WordPress. Właściciele stron i operatorzy IT powinni traktować tę podatność jako priorytetową do zaadresowania, aby zapobiec potencjalnym atakom i utracie danych.
Rekomendowane działania administratora
Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki WP Directorybox Manager i ich wdrożenie. W przypadku braku łatki należy ograniczyć dostęp do panelu administracyjnego, monitorować logi pod kątem podejrzanych logowań oraz rozważyć tymczasowe wyłączenie wtyczki. Priorytetowo należy przeprowadzić audyt bezpieczeństwa i edukację użytkowników dotyczących silnych haseł.