Luka IDOR w wtyczce User Registration & Membership dla WordPress

Co wiadomo

Wtyczka User Registration & Membership dla WordPress do wersji 5.1.2 zawiera lukę typu Insecure Direct Object Reference (IDOR) w funkcji 'register_member', umożliwiającą nieautoryzowanym atakującym usuwanie kont nowo zarejestrowanych użytkowników z określonym meta 'urm_user_just_created'.

Wpływ biznesowy

Luka pozwala na usunięcie kont użytkowników, co może prowadzić do zakłóceń w działaniu serwisu i utraty danych użytkowników. Atakujący bez uwierzytelnienia mogą manipulować kontami, co wpływa na integralność i dostępność usług. Wpływ na biznes obejmuje potencjalne przestoje oraz utratę zaufania użytkowników.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki u dostawcy i ich wdrożenie. W międzyczasie warto ograniczyć dostęp do funkcji rejestracji oraz monitorować logi pod kątem podejrzanych działań związanych z usuwaniem kont. Priorytetowo należy ocenić ryzyko i wprowadzić środki minimalizujące ekspozycję na ataki.

Źródła

• NVD
• Reference
• Reference