Krytyczna luka wtyczki WP Travel Pro umożliwia usuwanie użytkowników bez autoryzacji

Co wiadomo

Wtyczka WP Travel Pro dla WordPressa do wersji 10.6.0 zawiera krytyczną lukę umożliwiającą nieautoryzowane usuwanie dowolnych kont użytkowników poprzez endpoint REST API. Luka wynika z błędnej weryfikacji uprawnień i braku walidacji ról użytkowników.

Wpływ biznesowy

Atakujący bez uwierzytelnienia mogą usunąć dowolne konta użytkowników, w tym administratorów, co może prowadzić do utraty kontroli nad stroną, przerw w działaniu usług oraz potencjalnych dalszych ataków. Właściciele stron WordPress korzystający z WP Travel Pro powinni traktować tę lukę jako krytyczną i pilnie podjąć działania naprawcze.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki WP Travel Pro i ich instalację. Jeśli aktualizacja nie jest dostępna, należy ograniczyć dostęp do endpointu REST API, monitorować logi pod kątem podejrzanych działań oraz rozważyć tymczasowe wyłączenie wtyczki. W dalszej kolejności warto przeprowadzić audyt kont użytkowników i przywrócić ewentualnie usunięte konta.

Źródła

• NVD
• Reference
• Reference