Luka wtyczki MemberHero WordPress umożliwia przejęcie konta administratora

Co wiadomo

Wtyczka MemberHero WordPress do wersji 6.9 nie ogranicza pól konta podczas rejestracji, co pozwala nieautoryzowanym atakującym na utworzenie użytkownika z rolą administratora i przejęcie kontroli nad stroną. Poprawka w wersji 6.9 jest niekompletna, a obecna wersja nadal jest podatna na ataki.

Wpływ biznesowy

Atakujący mogą zdalnie uzyskać pełne uprawnienia administratora na stronie WordPress, co prowadzi do całkowitego przejęcia witryny, modyfikacji treści, kradzieży danych lub instalacji złośliwego oprogramowania. Właściciele infrastruktury powinni traktować tę lukę jako krytyczną i priorytetowo zabezpieczyć swoje systemy, aby uniknąć poważnych konsekwencji biznesowych.

Rekomendowane działania administratora

Zaleca się natychmiastowe wyłączenie i usunięcie wtyczki MemberHero do wersji 6.9, dopóki nie zostanie wydana wersja całkowicie eliminująca lukę. Jeśli wtyczka musi pozostać aktywna, należy wyłączyć publiczną rejestrację, ograniczyć dostęp do funkcji rejestracji oraz monitorować witrynę pod kątem nieautoryzowanych kont administratorów. Warto również przejrzeć logi bezpieczeństwa i zweryfikować konfigurację zabezpieczeń. DataHouse może pomóc w weryfikacji wersji oprogramowania oraz w monitoringu i ograniczaniu ekspozycji sieciowej.

Źródła

• NVD
• Reference