Krytyczna luka wtyczki Appy Pie Connect dla WooCommerce umożliwia eskalację uprawnień

Co wiadomo

Wtyczka Appy Pie Connect dla WooCommerce w WordPress do wersji 1.1.2 zawiera lukę pozwalającą nieautoryzowanym atakującym na resetowanie haseł dowolnych użytkowników, w tym administratorów. Luka wynika z braku odpowiedniej autoryzacji w funkcji reset_user_password() obsługującej REST API.

Wpływ biznesowy

Atakujący mogą uzyskać pełny dostęp administracyjny do witryny WordPress poprzez resetowanie haseł użytkowników, co zagraża integralności i bezpieczeństwu danych oraz może prowadzić do przejęcia kontroli nad infrastrukturą. Wdrożenie tej wtyczki w środowisku produkcyjnym bez aktualizacji stwarza poważne ryzyko dla działalności biznesowej.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Appy Pie Connect dla WooCommerce i ich wdrożenie. W przypadku braku łatki należy ograniczyć dostęp do REST API, monitorować logi pod kątem podejrzanych działań oraz rozważyć tymczasowe wyłączenie wtyczki. Priorytetem jest szybka reakcja w celu minimalizacji ryzyka nieautoryzowanego dostępu.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference