Analityczne wykorzystywanie plików cookies
Krytyczna luka wtyczki Invoice Generator dla WordPress umożliwia eskalację uprawnień
Krytyczna luka w Invoice Generator dla WordPress pozwala na eskalację uprawnień i przejęcie kont. Zalecane szybkie aktualizacje i monitorowanie bezpieczeństwa.
- CVSS
- 9.8 CRITICAL
- EPSS
- 56.04%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- -
Co wiadomo
Wtyczka Invoice Generator dla WordPress do wersji 1.0.0 posiada krytyczną lukę pozwalającą na eskalację uprawnień poprzez brak weryfikacji uprawnień w akcji AJAX pravel_invoice_edit_account. Atakujący może zmienić adres e-mail dowolnego użytkownika i zainicjować reset hasła, uzyskując dostęp do konta.
Wpływ biznesowy
Luka umożliwia nieautoryzowanym osobom zmianę adresu e-mail użytkowników, w tym administratorów, co może prowadzić do przejęcia kont i pełnej kontroli nad stroną WordPress. Może to skutkować poważnymi naruszeniami bezpieczeństwa, utratą danych oraz przerwami w działaniu usług.
Rekomendowane działania administratora
Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Invoice Generator i ich zastosowanie. W przypadku braku łatki należy ograniczyć dostęp do funkcji AJAX, monitorować logi pod kątem podejrzanych działań oraz rozważyć tymczasowe wyłączenie wtyczki. Priorytetowo traktuj audyt uprawnień użytkowników i procedur resetu haseł.