Krytyczna luka wtyczki Wishlist Member dla WordPress umożliwia przejęcie konta

Co wiadomo

Wtyczka Wishlist Member do WordPressa w wersjach do 3.34.1 umożliwia nieautoryzowane przejęcie konta poprzez niewystarczającą weryfikację autentyczności danych. Atakujący mogą zmienić dane użytkownika, w tym administratora, bez powiadomień o zmianach hasła czy e-maila.

Wpływ biznesowy

Luka pozwala na pełne przejęcie kont WordPress, w tym kont administratorów, co może prowadzić do eskalacji uprawnień i całkowitej utraty kontroli nad serwisem. Atakujący mogą zmieniać dane użytkowników i uzyskać dostęp do zasobów, co stanowi poważne zagrożenie dla bezpieczeństwa i integralności infrastruktury IT.

Rekomendowane działania administratora

Zaleca się jak najszybsze zweryfikowanie dostępności poprawek od dostawcy wtyczki oraz ich wdrożenie. W międzyczasie ogranicz ekspozycję serwisu na zewnętrzne ataki, monitoruj logi pod kątem podejrzanych aktywności i przeprowadź audyt kont użytkowników. W przypadku korzystania z usług DataHouse, skontaktuj się z nami w celu wsparcia w zakresie weryfikacji wersji, zarządzanego patchowania oraz analizy logów.

Źródła

• NVD
• Reference
• Reference