Krytyczna luka wtyczki Spreadsheet Price Changer dla WooCommerce i WP E-commerce – Light umożliwia tworzenie kont administratora bez autoryzacji

Co wiadomo

Wtyczka Spreadsheet Price Changer dla WooCommerce i WP E-commerce – Light w wersjach do 2.4.37 włącznie posiada krytyczną lukę brakującej autoryzacji w funkcji user_filter. Pozwala to nieautoryzowanym atakującym na utworzenie kont administratora.

Wpływ biznesowy

Luka o wysokim poziomie ryzyka (CVSS 9.8) umożliwia atakującym przejęcie pełnej kontroli nad stroną WordPress poprzez dodanie konta administratora. Może to prowadzić do poważnych naruszeń bezpieczeństwa, w tym modyfikacji zawartości, kradzieży danych lub dalszych ataków na infrastrukturę IT.

Rekomendowane działania administratora

Zaleca się natychmiastową weryfikację wersji wtyczki i aktualizację do najnowszej dostępnej wersji, jeśli została wydana poprawka. W przypadku braku aktualizacji należy ograniczyć dostęp do panelu administracyjnego oraz monitorować logi pod kątem podejrzanych działań. Warto również rozważyć tymczasowe wyłączenie wtyczki. DataHouse wspiera weryfikację wersji i zarządzanie aktualizacjami w celu minimalizacji ryzyka.

Źródła

• NVD
• Reference
• Reference