Krytyczna luka eskalacji uprawnień w wtyczce Riaxe Product Customizer dla WordPress

Co wiadomo

Wtyczka Riaxe Product Customizer dla WordPress do wersji 2.1.2 włącznie posiada krytyczną lukę umożliwiającą nieautoryzowaną eskalację uprawnień. Luka wynika z braku weryfikacji i kontroli dostępu w funkcji obsługującej niezabezpieczone żądania AJAX, co pozwala na modyfikację dowolnych opcji WordPress.

Wpływ biznesowy

Atakujący bez uwierzytelnienia mogą zmieniać ustawienia WordPress, w tym włączyć rejestrację użytkowników i nadać im rolę administratora. Może to prowadzić do pełnego przejęcia kontroli nad stroną, narażając dane i infrastrukturę na poważne zagrożenia. Operatorzy powinni traktować tę lukę jako krytyczną i priorytetowo ją adresować.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Riaxe Product Customizer i ich wdrożenie. W międzyczasie ograniczyć dostęp do funkcji AJAX wykorzystywanej przez wtyczkę, monitorować logi pod kątem podejrzanych działań oraz rozważyć tymczasowe wyłączenie wtyczki, jeśli to możliwe. Należy również zweryfikować ustawienia rejestracji użytkowników i uprawnień na stronie.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference