Luka wtyczki Comments WordPress umożliwia przejęcie konta przy użyciu disqus.com

Co wiadomo

Wtyczka Comments dla WordPressa w wersjach przed 7.6.40 nieprawidłowo weryfikuje tożsamość użytkownika przy korzystaniu z dostawcy disqus.com. Atakujący mogą zalogować się jako dowolny użytkownik, znając jego adres e-mail, nawet jeśli użytkownik nie ma konta na disqus.com.

Wpływ biznesowy

Ta luka może prowadzić do nieautoryzowanego dostępu do kont użytkowników WordPressa, co zagraża integralności i bezpieczeństwu witryny. Atakujący mogą przejąć kontrolę nad kontami, co może skutkować eskalacją uprawnień, manipulacją treścią lub innymi działaniami szkodliwymi dla firmy i jej klientów.

Rekomendowane działania administratora

Administratorzy powinni jak najszybciej zweryfikować i zaktualizować wtyczkę Comments do wersji 7.6.40 lub nowszej. W przypadku braku dostępnej aktualizacji zaleca się ograniczenie korzystania z logowania przez disqus.com, przeglądanie logów pod kątem podejrzanych logowań oraz wprowadzenie dodatkowych mechanizmów uwierzytelniania. Priorytetem jest szybka reakcja i monitorowanie środowiska pod kątem potencjalnych incydentów.

Źródła

• NVD
• Reference