Krytyczna luka uwierzytelniania w wtyczce WooCommerce Registration & Login with Mobile Phone Number

Co wiadomo

Wtyczka Registration & Login with Mobile Phone Number dla WooCommerce w WordPressie do wersji 1.3.1 ma krytyczną lukę umożliwiającą obejście uwierzytelniania. Atakujący mogą zalogować się jako dowolny użytkownik, w tym administrator, bez podawania hasła.

Wpływ biznesowy

Luka pozwala nieautoryzowanym osobom na przejęcie kont użytkowników i administratorów, co może prowadzić do pełnej kompromitacji serwisu, wycieku danych oraz utraty kontroli nad infrastrukturą. Zagrożenie jest szczególnie wysokie dla sklepów internetowych korzystających z WooCommerce, gdzie dostęp do konta administratora umożliwia modyfikację produktów, zamówień i danych klientów.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki u jej dostawcy i wdrożenie najnowszej wersji. W przypadku braku aktualizacji należy ograniczyć dostęp do panelu administracyjnego, monitorować logi pod kątem podejrzanych logowań oraz rozważyć tymczasowe wyłączenie wtyczki. Priorytetowo traktuj audyt bezpieczeństwa i weryfikację uprawnień użytkowników.

Źródła

• NVD
• Reference
• Reference