Luka w WooCommerce OTP Login With Phone Number umożliwia obejście uwierzytelniania

Co wiadomo

Wtyczka WooCommerce OTP Login With Phone Number, OTP Verification dla WordPressa posiada lukę pozwalającą na obejście weryfikacji OTP przez niewystarczające sprawdzanie pustych wartości. Atakujący mogą uzyskać dostęp administracyjny do kont użytkowników z przypisanym numerem telefonu, wykorzystując błędne obsługiwanie błędów Firebase API.

Wpływ biznesowy

Ta luka umożliwia nieautoryzowanym osobom uzyskanie pełnych uprawnień administracyjnych na kontach użytkowników, co może prowadzić do poważnych naruszeń bezpieczeństwa, w tym modyfikacji danych i przejęcia kontroli nad sklepem internetowym. Operatorzy powinni traktować tę podatność jako wysokiego ryzyka, zwłaszcza jeśli korzystają z tej wtyczki i mają skonfigurowane numery telefonów użytkowników.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki WooCommerce OTP Login With Phone Number i jej instalację. W przypadku braku łatki należy ograniczyć ekspozycję usługi, monitorować logi pod kątem podejrzanych prób logowania oraz zweryfikować konfigurację klucza Firebase API. Priorytetowo traktuj audyt i zabezpieczenie kont administracyjnych.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference