Luka wtyczki Auto Amazon Links umożliwia nieautoryzowany odczyt plików

Co wiadomo

Wtyczka Auto Amazon Links – Amazon Associates Affiliate dla WordPress w wersjach do 5.4.3 zawiera lukę pozwalającą na nieautoryzowany odczyt dowolnych plików na serwerze poprzez endpoint REST API '/wp-json/wp/v2/aal_ajax_unit_loading'. Atakujący mogą uzyskać dostęp do poufnych danych przechowywanych na serwerze.

Wpływ biznesowy

Eksploatacja tej luki może prowadzić do wycieku wrażliwych informacji, co zagraża bezpieczeństwu danych i może skutkować naruszeniem prywatności użytkowników oraz utratą zaufania do usług. Administratorzy stron opartych na WordPress z zainstalowaną tą wtyczką powinni potraktować tę lukę jako wysokiego ryzyka i działać szybko, aby ograniczyć potencjalne szkody.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Auto Amazon Links i jej instalację, jeśli jest dostępna. W przypadku braku łatki należy ograniczyć dostęp do endpointu REST API, monitorować logi serwera pod kątem podejrzanych żądań oraz rozważyć tymczasowe wyłączenie wtyczki. Priorytetem jest szybka reakcja i minimalizacja ekspozycji na ataki.

Źródła

• NVD
• Reference
• Reference
• Reference