Luka wtyczki Voidek Employee Portal dla WordPress umożliwia nieautoryzowany dostęp

Co wiadomo

Wtyczka Voidek Employee Portal dla WordPress do wersji 1.0.7 ma lukę pozwalającą nieautoryzowanym użytkownikom na wykonywanie działań takich jak rejestracja konta, usuwanie użytkowników oraz modyfikacja danych w portalu pracowniczym. Problem wynika z braku odpowiedniej weryfikacji uprawnień w kilku akcjach AJAX.

Wpływ biznesowy

Luka może prowadzić do nieautoryzowanego dostępu i manipulacji danymi w portalu pracowniczym, co zagraża integralności i poufności informacji. Operatorzy stron korzystających z tej wtyczki powinni traktować tę podatność jako średniego ryzyka, ponieważ umożliwia ona ataki bez uwierzytelnienia, co może skutkować naruszeniem bezpieczeństwa użytkowników i systemu.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Voidek Employee Portal i ich instalację. W przypadku braku łatki należy ograniczyć dostęp do funkcji AJAX wtyczki, monitorować logi pod kątem podejrzanych działań oraz rozważyć tymczasowe wyłączenie wtyczki. Warto również przeprowadzić przegląd uprawnień i zabezpieczeń portalu pracowniczego.

Źródła

• NVD
• Reference
• Reference
• Reference