Luka w YITH WooCommerce Wishlist umożliwia obejście autoryzacji

Co wiadomo

Wtyczka YITH WooCommerce Wishlist dla WordPressa do wersji 4.10.0 ma lukę pozwalającą na obejście autoryzacji w REST API oraz w obsłudze AJAX. Atakujący bez uwierzytelnienia mogą ujawnić tokeny list życzeń innych użytkowników i usuwać ich elementy.

Wpływ biznesowy

Ta luka może prowadzić do nieautoryzowanego dostępu do danych list życzeń użytkowników oraz ich modyfikacji, co wpływa na integralność i prywatność danych klientów. Operatorzy sklepów internetowych korzystających z tej wtyczki powinni traktować problem poważnie, gdyż może to obniżyć zaufanie użytkowników i narazić na potencjalne straty biznesowe.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki YITH WooCommerce Wishlist i ich wdrożenie. W międzyczasie warto ograniczyć dostęp do endpointów REST API oraz monitorować logi pod kątem podejrzanych działań związanych z listami życzeń. Wdrożenie dodatkowych mechanizmów kontroli dostępu i weryfikacji uprawnień może zmniejszyć ryzyko wykorzystania luki.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference