Luka w KiotViet Sync dla WordPress umożliwia obejście autoryzacji

Co wiadomo

Wtyczka KiotViet Sync dla WordPress do wersji 1.8.5 włącznie zawiera lukę pozwalającą na obejście autoryzacji z powodu użycia twardo zakodowanego hasła w funkcji uwierzytelniającej. Atakujący bez uwierzytelnienia mogą tworzyć i synchronizować produkty.

Wpływ biznesowy

Luka umożliwia nieautoryzowanym osobom modyfikację i synchronizację produktów w systemie WordPress, co może prowadzić do niepożądanych zmian w ofercie sklepu oraz potencjalnych strat finansowych i reputacyjnych. Operatorzy powinni traktować tę lukę jako średniego ryzyka, zwłaszcza jeśli korzystają z wtyczki KiotViet Sync.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki KiotViet Sync u dostawcy oraz ich wdrożenie. W międzyczasie warto ograniczyć dostęp do panelu administracyjnego WordPress oraz monitorować logi pod kątem nietypowych działań związanych z tworzeniem i synchronizacją produktów. Priorytetem jest szybka weryfikacja i wdrożenie poprawek bezpieczeństwa.

Źródła

• NVD
• Reference
• Reference