Luka IDOR w wtyczce Booking Calendar dla WordPress umożliwia modyfikację ustawień innych użytkowników

Co wiadomo

Wtyczka Booking Calendar dla WordPress do wersji 10.14.14 zawiera lukę typu Insecure Direct Object Reference (IDOR) w funkcji handle_ajax_save, która pozwala uwierzytelnionym użytkownikom z uprawnieniami subskrybenta i wyższymi, posiadającym uprawnienia rezerwacji, na zmianę ustawień innych użytkowników. Może to zakłócić działanie kalendarza rezerwacji dla zaatakowanych użytkowników.

Wpływ biznesowy

Atakujący z odpowiednimi uprawnieniami mogą zmieniać ustawienia kalendarza rezerwacji innych użytkowników, co może prowadzić do zakłóceń w funkcjonowaniu systemu rezerwacji i wpływać na doświadczenie użytkowników. W środowiskach, gdzie kalendarz rezerwacji jest kluczowy dla działalności, takie zakłócenia mogą powodować straty operacyjne i obniżenie zaufania klientów.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Booking Calendar i ich wdrożenie. W międzyczasie ogranicz dostęp użytkowników do uprawnień rezerwacji oraz monitoruj logi pod kątem nietypowych zmian ustawień. Warto również przeprowadzić przegląd uprawnień użytkowników i ograniczyć je do niezbędnego minimum.

Źródła

• NVD
• Reference
• Reference
• Reference