WPshop 2 – E-Commerce: luka eskalacji uprawnień przez przejęcie konta

Co wiadomo

Wtyczka WPshop 2 – E-Commerce dla WordPress w wersjach 2.0.0 do 2.6.0 umożliwia atakującym z poziomem subskrybenta lub wyższym zmianę haseł dowolnych użytkowników, w tym administratorów, poprzez niewłaściwą weryfikację tożsamości podczas aktualizacji danych konta.

Wpływ biznesowy

Luka pozwala na przejęcie kont o wyższych uprawnieniach, co może skutkować nieautoryzowanym dostępem do panelu administracyjnego i pełną kontrolą nad witryną. Może to prowadzić do defraudacji danych, modyfikacji treści lub dalszych ataków na infrastrukturę IT.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki WPshop 2 – E-Commerce i ich wdrożenie. W przypadku braku łatki należy ograniczyć dostęp użytkowników do minimum, monitorować logi pod kątem podejrzanych zmian kont oraz rozważyć tymczasowe wyłączenie funkcji aktualizacji danych użytkowników przez subskrybentów.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference