Krytyczna luka eskalacji uprawnień w wtyczce SMS Alert dla WooCommerce

Co wiadomo

Wtyczka SMS Alert – SMS & OTP dla WooCommerce do powiadomień i odzyskiwania porzuconych koszyków w WordPressie ma krytyczną lukę pozwalającą na przejęcie konta poprzez eskalację uprawnień. Atakujący może zmienić adres e-mail dowolnego użytkownika, w tym administratora, i zresetować jego hasło, uzyskując pełny dostęp do konta.

Wpływ biznesowy

Luka ta stanowi poważne zagrożenie dla sklepów internetowych korzystających z tej wtyczki, zwłaszcza gdy włączona jest weryfikacja OTP przy resetowaniu haseł i ustawiony numer telefonu do OTP. Atakujący może przejąć kontrolę nad kontami administratorów, co może prowadzić do utraty kontroli nad sklepem, wycieku danych klientów oraz zakłóceń w działaniu biznesu.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki u dostawcy oraz jej instalację. W międzyczasie warto ograniczyć dostęp do funkcji resetowania haseł, wyłączyć weryfikację OTP dla resetów lub usunąć numery telefonów powiązane z kontami administratorów. Należy także monitorować logi systemowe pod kątem podejrzanych działań i przygotować plan szybkiego reagowania na incydenty.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference