Luka w CURCY – Multi Currency for WooCommerce umożliwia wykonanie dowolnego shortcode

Co wiadomo

Wtyczka CURCY – Multi Currency for WooCommerce Smoothly do wersji 2.2.14 włącznie posiada lukę pozwalającą na wykonanie dowolnego shortcode bez uwierzytelnienia. Problem wynika z braku odpowiedniej walidacji wartości przed wywołaniem funkcji do_shortcode.

Wpływ biznesowy

Atakujący bez uwierzytelnienia mogą wykorzystać tę lukę do wykonania dowolnych shortcode, co może prowadzić do nieautoryzowanych działań na stronie WordPress korzystającej z WooCommerce. Może to skutkować naruszeniem integralności i bezpieczeństwa witryny oraz potencjalnymi stratami biznesowymi.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki CURCY i jej instalację. W przypadku braku łatki należy ograniczyć ekspozycję wtyczki, monitorować logi pod kątem podejrzanych działań oraz priorytetyzować działania naprawcze związane z tą luką.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference