Luka wtyczki Wp Social Login i Register Social Counter umożliwia nieautoryzowaną manipulację cache

Co wiadomo

Wtyczka Wp Social Login i Register Social Counter dla WordPress w wersjach do 3.1.3 ma lukę polegającą na braku odpowiedniej autoryzacji w niektórych trasach REST API. Pozwala to nieautoryzowanym atakującym na czyszczenie lub nadpisywanie pamięci podręcznej liczników społecznościowych poprzez spreparowane żądania REST.

Wpływ biznesowy

Brak odpowiedniej kontroli dostępu w wtyczce może prowadzić do manipulacji danymi liczników społecznościowych, co może zaburzyć funkcjonowanie serwisu i zaufanie użytkowników. Administratorzy powinni traktować tę lukę jako średniego ryzyka, zwłaszcza jeśli wtyczka jest aktywnie wykorzystywana i dostępna publicznie.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki u dostawcy oraz ich wdrożenie. W międzyczasie warto ograniczyć dostęp do REST API wtyczki, monitorować logi pod kątem podejrzanych żądań oraz rozważyć tymczasowe wyłączenie wtyczki, jeśli jest to możliwe.

Źródła

• NVD
• Reference
• Reference
• Reference