Krytyczna luka uwierzytelniania w wtyczce MyHome Core dla WordPress

Co wiadomo

Wtyczka MyHome Core dla WordPress do wersji 4.4.5 włącznie posiada krytyczną lukę umożliwiającą ominięcie uwierzytelniania. Atakujący mogą wygenerować token aktywacyjny dla niepotwierdzonego konta i uzyskać ważne ciasteczko uwierzytelniające, w tym dla kont administratorów.

Wpływ biznesowy

Luka ta pozwala na przejęcie kont użytkowników, w tym administratorów, co może prowadzić do pełnej kompromitacji witryny opartej na WordPress z wtyczką MyHome Core. Może to skutkować utratą danych, defacementem strony lub dalszymi atakami na infrastrukturę IT.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie wersji wtyczki MyHome Core i aktualizację do najnowszej dostępnej wersji, jeśli została wydana poprawka. W przypadku braku łatki należy ograniczyć ekspozycję witryny, wyłączyć tryb legacy/WPBakery oraz frontendową rejestrację i potwierdzenie e-mail, a także przejrzeć logi pod kątem podejrzanej aktywności. Warto również zweryfikować konfigurację i stosować polityki minimalnych uprawnień. DataHouse może pomóc w monitorowaniu i zarządzaniu aktualizacjami oraz w ocenie ryzyka ekspozycji sieciowej.

Źródła

• NVD
• Reference
• Reference