Krytyczna luka wtyczki Invoice Generator dla WordPress umożliwia przejęcie konta przez reset hasła

Co wiadomo

Wtyczka Invoice Generator dla WordPress do wersji 1.0.0 posiada krytyczną lukę umożliwiającą nieautoryzowany reset hasła i przejęcie dowolnego konta, w tym administratora. Problem wynika z braku weryfikacji nonce i autoryzacji w funkcji obsługującej reset hasła.

Wpływ biznesowy

Luka pozwala atakującym na całkowite przejęcie kont użytkowników, w tym kont administratorów, co może prowadzić do pełnej kontroli nad stroną WordPress. Skutki obejmują potencjalne wycieki danych, modyfikacje zawartości oraz utratę integralności i dostępności serwisu.

Rekomendowane działania administratora

Administratorzy powinni niezwłocznie zweryfikować dostępność aktualizacji wtyczki Invoice Generator i zastosować je, jeśli są dostępne. W przypadku braku łatki zaleca się ograniczenie dostępu do funkcji resetu hasła, monitorowanie logów pod kątem podejrzanych działań oraz rozważenie tymczasowego wyłączenia wtyczki do czasu usunięcia problemu.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference