Analityczne wykorzystywanie plików cookies
CVE-2026-14545: Luka wtyczki TrueBooker WordPress umożliwia przejęcie konta
Luka w wtyczce TrueBooker WordPress pozwala na reset hasła bez weryfikacji, umożliwiając atakującym przejęcie konta administratora. Aktualizuj wtyczkę do wersji 1.2.4.
- CVSS
- 9.8 CRITICAL
- EPSS
- 40.56%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- -
Co wiadomo
Wtyczka TrueBooker dla WordPress w wersjach przed 1.2.4 nie weryfikuje praw własności konta podczas resetowania hasła, co pozwala nieautoryzowanym atakującym na ustawienie dowolnego hasła i przejęcie konta, w tym administratora.
Wpływ biznesowy
Ta luka umożliwia atakującym przejęcie kontroli nad stroną internetową poprzez zmianę hasła dowolnego użytkownika bez uwierzytelnienia. Może to prowadzić do utraty danych, deface'u strony lub dalszych ataków na infrastrukturę IT. Operatorzy powinni traktować tę podatność jako krytyczną, zwłaszcza jeśli korzystają z wtyczki TrueBooker.
Rekomendowane działania administratora
Zaleca się niezwłoczne zaktualizowanie wtyczki TrueBooker do wersji 1.2.4 lub nowszej, w której luka została załatana. W przypadku braku możliwości natychmiastowej aktualizacji, ogranicz dostęp do funkcji resetowania hasła oraz monitoruj logi pod kątem podejrzanych działań. Warto również zweryfikować integralność kont administratorów i rozważyć wdrożenie dodatkowych mechanizmów uwierzytelniania. DataHouse może pomóc w ocenie wersji oprogramowania, zarządzaniu aktualizacjami oraz monitoringu bezpieczeństwa.