Krytyczna luka eskalacji uprawnień w wtyczce Academist Membership dla WordPress

Co wiadomo

Wtyczka Academist Membership dla WordPress do wersji 1.1.6 włącznie posiada krytyczną lukę pozwalającą nieautoryzowanym atakującym na zalogowanie się jako dowolny użytkownik, w tym administratorzy. Problem wynika z niewłaściwej weryfikacji tożsamości użytkownika w funkcji academist_membership_check_facebook_user().

Wpływ biznesowy

Luka umożliwia atakującym przejęcie kont z wysokimi uprawnieniami, co może prowadzić do pełnej kontroli nad stroną WordPress, kradzieży danych lub wprowadzenia złośliwych zmian. Operatorzy stron korzystających z tej wtyczki powinni traktować tę podatność jako krytyczną i priorytetowo ją adresować, aby zapobiec potencjalnym incydentom bezpieczeństwa.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Academist Membership u jej dostawcy oraz ich wdrożenie. W przypadku braku łatki należy ograniczyć dostęp do panelu administracyjnego, monitorować logi pod kątem podejrzanych logowań oraz rozważyć tymczasowe wyłączenie wtyczki. Priorytetowo należy ocenić ryzyko i wdrożyć dodatkowe mechanizmy uwierzytelniania.

Źródła

• NVD
• Reference
• Reference