Analityczne wykorzystywanie plików cookies
Krytyczna luka wtyczki TrueBooker dla WordPress umożliwia zmianę haseł bez autoryzacji
Krytyczna luka w wtyczce TrueBooker dla WordPress umożliwia atakującym zmianę haseł użytkowników i przejęcie kont administratorów. Sprawdź zalecenia bezpieczeństwa.
- CVSS
- 9.8 CRITICAL
- EPSS
- 44.69%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- -
Co wiadomo
Wtyczka TrueBooker – Appointment Booking and Scheduler System dla WordPress do wersji 1.2.3 włącznie posiada poważną lukę pozwalającą na ominięcie mechanizmów autoryzacji. Atakujący bez uwierzytelnienia mogą zmieniać hasła dowolnych kont użytkowników, w tym administratorów, co umożliwia przejęcie kontroli nad serwisem.
Wpływ biznesowy
Luka o wysokim poziomie krytyczności (CVSS 9.8) stwarza poważne zagrożenie dla bezpieczeństwa witryn korzystających z tej wtyczki. Nieautoryzowany dostęp do kont administratorów może prowadzić do pełnego przejęcia serwisu, utraty danych oraz zakłóceń w działaniu usług. Operatorzy IT powinni traktować tę podatność jako priorytetową do natychmiastowego zaadresowania.
Rekomendowane działania administratora
Zaleca się niezwłoczne sprawdzenie wersji wtyczki TrueBooker i aktualizację do najnowszej dostępnej wersji, jeśli została wydana poprawka. W przypadku braku łatki należy ograniczyć dostęp do panelu administracyjnego, monitorować logi pod kątem podejrzanych działań oraz rozważyć tymczasowe wyłączenie wtyczki. Warto również zweryfikować integralność kont użytkowników i wymusić zmianę haseł. DataHouse wspiera weryfikację wersji oprogramowania oraz monitorowanie logów bezpieczeństwa.