Luka wtyczki Taxi Booking Manager dla WooCommerce umożliwia przejęcie konta

Co wiadomo

Wtyczka Taxi Booking Manager dla WooCommerce w wersjach do 1.3.0 włącznie posiada krytyczną lukę pozwalającą na eskalację uprawnień poprzez przejęcie konta. Atakujący mogą zmieniać adresy e-mail użytkowników, w tym administratorów, co umożliwia reset hasła i dostęp do konta.

Wpływ biznesowy

Luka ta stanowi poważne zagrożenie dla bezpieczeństwa sklepów internetowych korzystających z tej wtyczki, gdyż nieautoryzowani użytkownicy mogą przejąć konta administratorów. Może to prowadzić do nieautoryzowanych zmian w konfiguracji, kradzieży danych lub dalszych ataków na infrastrukturę IT.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki u dostawcy oraz jej instalację. W przypadku braku łatki należy ograniczyć dostęp do panelu administracyjnego, monitorować logi pod kątem podejrzanych działań oraz rozważyć tymczasowe wyłączenie wtyczki. Priorytetowo należy przejrzeć i zabezpieczyć konta użytkowników, zwłaszcza administratorów.

Źródła

• NVD
• Reference
• Reference
• Reference