Luka Insecure Direct Object Reference w wtyczce All in One Time Clock Lite dla WordPress

Co wiadomo

Wtyczka All in One Time Clock Lite do WordPressa jest podatna na lukę Insecure Direct Object Reference (IDOR) w wersjach do 2.0 włącznie. Luka pozwala uwierzytelnionym użytkownikom z uprawnieniami subskrybenta i wyższymi na rejestrowanie czasu pracy innych użytkowników poprzez brak odpowiedniej walidacji klucza w akcji AJAX.

Wpływ biznesowy

Atakujący z dostępem subskrybenta mogą manipulować rejestrem czasu pracy innych użytkowników, co może prowadzić do fałszywych danych dotyczących obecności i potencjalnych nadużyć w systemie zarządzania czasem pracy. Może to wpłynąć na dokładność raportów i procesy rozliczeniowe w organizacji korzystającej z tej wtyczki.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki u dostawcy oraz jej wdrożenie. W międzyczasie warto ograniczyć dostęp do funkcji rejestrowania czasu pracy tylko do zaufanych użytkowników oraz monitorować logi pod kątem nietypowych działań związanych z rejestrowaniem czasu pracy. Priorytetowo traktuj aktualizacje zabezpieczeń i weryfikuj uprawnienia użytkowników.

Źródła

• NVD
• Reference
• Reference