Luka w JoomSport dla WordPress umożliwia obejście autoryzacji

Co wiadomo

Wtyczka JoomSport dla WordPress w wersjach do 5.7.8 włącznie ma lukę pozwalającą na obejście mechanizmów autoryzacji. Użytkownicy z uprawnieniami subskrybenta i wyższymi mogą tworzyć lub modyfikować grupy sezonowe oraz ich ustawienia bez odpowiednich uprawnień.

Wpływ biznesowy

Atakujący z dostępem na poziomie subskrybenta mogą manipulować danymi dotyczącymi grup sezonowych w systemie sportowym, co może prowadzić do nieautoryzowanych zmian w zawartości i potencjalnie zakłócić działanie serwisu. Może to wpłynąć na wiarygodność i integralność danych prezentowanych użytkownikom końcowym.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki JoomSport i ich wdrożenie. W międzyczasie warto ograniczyć dostęp do stron generujących joomsportajaxnonce oraz monitorować logi pod kątem nietypowych działań związanych z modyfikacją grup sezonowych. Priorytetowo należy ocenić ryzyko i wprowadzić dodatkowe kontrole dostępu.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference