Krytyczna luka wtyczki Mstore Api dla WordPress umożliwiająca obejście uwierzytelniania przez fałszowanie JWT

Co wiadomo

Wtyczka Mstore Api dla WordPress do wersji 4.20.0 zawiera krytyczną lukę umożliwiającą atakującemu obejście uwierzytelniania poprzez fałszowanie tokenów JWT. Brak weryfikacji podpisu kryptograficznego w funkcji weryfikującej tokeny Firebase pozwala na podszywanie się pod dowolny numer telefonu i nieautoryzowany dostęp do kont.

Wpływ biznesowy

Luka ta może prowadzić do przejęcia istniejących kont WordPress lub tworzenia nowych, co zagraża integralności i bezpieczeństwu serwisu. Atakujący mogą uzyskać nieautoryzowany dostęp do zasobów, co może skutkować wyciekiem danych, utratą kontroli nad witryną oraz potencjalnymi stratami finansowymi i reputacyjnymi dla właścicieli infrastruktury IT.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Mstore Api i ich wdrożenie. W przypadku braku natychmiastowej poprawki należy ograniczyć ekspozycję serwisu, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć dodatkowe mechanizmy uwierzytelniania. Warto również zweryfikować konfigurację i wsparcie DataHouse w zakresie zarządzania łatami oraz monitorowania bezpieczeństwa.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference