Krytyczna luka eskalacji uprawnień w wtyczce WooCommerce Advanced Country Code dla WordPress

Co wiadomo

Wtyczka Automation Web Platform – Notifications and OTP for WooCommerce, Advanced Country Code dla WordPress zawiera krytyczną lukę eskalacji uprawnień, umożliwiającą nieautoryzowanym użytkownikom rejestrację konta administratora. Luka wynika z braku kontroli uprawnień na publicznym REST API oraz niewłaściwego przetwarzania parametrów użytkownika, co pozwala na nadanie sobie pełnych uprawnień administracyjnych.

Wpływ biznesowy

Atakujący mogą uzyskać pełny dostęp administracyjny do serwisu WordPress, co stwarza ryzyko przejęcia kontroli nad witryną, modyfikacji treści, kradzieży danych lub dalszego rozprzestrzeniania złośliwego oprogramowania. W przypadku włączenia weryfikacji OTP, mechanizm ten można łatwo obejść, co dodatkowo zwiększa zagrożenie. Organizacje korzystające z tej wtyczki powinny traktować tę lukę jako krytyczną i priorytetowo podjąć działania naprawcze.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki u dostawcy oraz ich wdrożenie. W międzyczasie warto ograniczyć dostęp do REST API, monitorować logi pod kątem podejrzanych rejestracji oraz zweryfikować konfigurację weryfikacji OTP. Warto również rozważyć tymczasowe wyłączenie wtyczki, jeśli to możliwe. DataHouse wspiera weryfikację wersji oprogramowania oraz monitorowanie logów pod kątem anomalii.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference