Krytyczna luka wtyczki MemberDash dla WordPress umożliwia przejęcie kont użytkowników

Co wiadomo

Wtyczka MemberDash dla WordPress do wersji 1.8.5 zawiera krytyczną lukę typu Insecure Direct Object Reference w parametrze 'id', pozwalającą nieautoryzowanym atakującym na zmianę hasła dowolnego użytkownika, w tym administratorów, bez powiadomienia ofiary.

Wpływ biznesowy

Luka ta umożliwia atakującym przejęcie kontroli nad kontami użytkowników WordPress, co może prowadzić do nieautoryzowanego dostępu do zasobów, modyfikacji treści oraz potencjalnych dalszych ataków na infrastrukturę. Organizacje korzystające z tej wtyczki są narażone na poważne naruszenia bezpieczeństwa i utratę zaufania użytkowników.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie wersji wtyczki MemberDash i aktualizację do najnowszej dostępnej wersji, jeśli jest dostępna. W przypadku braku łatki należy ograniczyć ekspozycję serwisu, monitorować logi pod kątem podejrzanych działań oraz rozważyć reset haseł użytkowników. Warto również zweryfikować konfigurację zabezpieczeń i stosować zasady minimalnych uprawnień. DataHouse oferuje wsparcie w zakresie weryfikacji wersji oprogramowania, zarządzania łatkami oraz monitoringu bezpieczeństwa.

Źródła

• NVD
• Reference
• Reference