Krytyczna luka wtyczki TrueBooker dla WordPress umożliwiająca przejęcie konta

Co wiadomo

Wtyczka TrueBooker – Appointment Booking and Scheduler System dla WordPress do wersji 1.2.3 włącznie posiada krytyczną lukę umożliwiającą przejęcie konta poprzez niewłaściwą walidację resetu hasła. Atakujący bez uwierzytelnienia mogą zresetować hasła dowolnych użytkowników, w tym administratorów, i uzyskać dostęp do ich kont.

Wpływ biznesowy

Luka ta stwarza poważne ryzyko dla właścicieli stron opartych na WordPress z zainstalowaną wtyczką TrueBooker, ponieważ umożliwia nieautoryzowany dostęp do kont administracyjnych. Może to prowadzić do przejęcia kontroli nad serwisem, modyfikacji treści, kradzieży danych lub dalszych ataków. Operatorzy powinni traktować tę lukę jako krytyczną i priorytetowo ją zaadresować.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie wersji wtyczki TrueBooker i aktualizację do najnowszej dostępnej wersji, jeśli została wydana poprawka. W przypadku braku łatki należy ograniczyć dostęp do panelu administracyjnego oraz monitorować logi pod kątem podejrzanych działań związanych z resetem haseł. Warto również rozważyć wdrożenie dodatkowych mechanizmów uwierzytelniania. DataHouse może pomóc w weryfikacji wersji oprogramowania, zarządzaniu aktualizacjami oraz monitoringu bezpieczeństwa.

Źródła

• NVD
• Reference
• Reference