Krytyczna luka w wtyczce Checkout Mestres do WP dla WooCommerce umożliwia eskalację uprawnień

Co wiadomo

Wtyczka Checkout Mestres do WP dla WooCommerce w wersjach 8.6.5 do 8.7.5 posiada lukę pozwalającą nieautoryzowanym użytkownikom na modyfikację danych poprzez brak odpowiedniej weryfikacji uprawnień w funkcji cwmpUpdateOptions(). Atakujący mogą zmienić domyślną rolę rejestracji na administratora i uzyskać pełne uprawnienia na stronie.

Wpływ biznesowy

Luka ta stanowi poważne zagrożenie dla właścicieli stron WordPress korzystających z tej wtyczki, ponieważ umożliwia nieautoryzowanym osobom uzyskanie dostępu administracyjnego. Może to prowadzić do przejęcia kontroli nad witryną, modyfikacji treści, kradzieży danych lub dalszych ataków na infrastrukturę IT.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki u jej dostawcy oraz ich wdrożenie. W międzyczasie warto ograniczyć dostęp do funkcji aktualizacji opcji, monitorować logi pod kątem podejrzanych działań oraz rozważyć tymczasowe wyłączenie rejestracji użytkowników. Priorytetem jest szybka reakcja, aby zminimalizować ryzyko eskalacji uprawnień.

Źródła

• NVD
• Reference
• Reference
• Reference