WCFM Membership dla WooCommerce narażony na nieautoryzowaną zmianę ról użytkowników

Co wiadomo

Wtyczka WCFM Membership – WooCommerce Memberships for Multivendor Marketplace do WordPressa w wersjach do 2.11.10 ma lukę typu Insecure Direct Object Reference. Pozwala ona uwierzytelnionym użytkownikom z uprawnieniami sprzedawcy lub wyższymi na zmianę roli dowolnego użytkownika na 'wcfm_vendor' poprzez modyfikację planu członkostwa.

Wpływ biznesowy

Luka umożliwia nieuprawnionym sprzedawcom eskalację uprawnień innych użytkowników, co może prowadzić do nieautoryzowanego dostępu i potencjalnych nadużyć w systemie zarządzania członkostwami. Operatorzy IT powinni traktować tę podatność jako wysokiego ryzyka, zwłaszcza w środowiskach z wieloma sprzedawcami i użytkownikami o różnych poziomach dostępu.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki u dostawcy i jej wdrożenie. W międzyczasie warto ograniczyć dostęp do funkcji zmiany członkostwa tylko do zaufanych użytkowników oraz monitorować logi pod kątem nietypowych zmian ról użytkowników. Priorytetem jest szybka weryfikacja i wdrożenie poprawek bezpieczeństwa.

Źródła

• NVD
• Reference
• Reference