Analityczne wykorzystywanie plików cookies
Krytyczna luka wtyczki InfusedWoo Pro dla WordPress umożliwiająca eskalację uprawnień
Krytyczna luka wtyczki InfusedWoo Pro umożliwia eskalację uprawnień i przejęcie konta administratora w WordPress. Sprawdź zalecenia bezpieczeństwa.
- CVSS
- 9.8 CRITICAL
- EPSS
- 35.94%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- -
Co wiadomo
Wtyczka InfusedWoo Pro dla WordPress do wersji 5.1.2 włącznie posiada krytyczną lukę pozwalającą na eskalację uprawnień przez brak weryfikacji autoryzacji w funkcji AJAX iwar_save_recipe(). Atakujący bez uwierzytelnienia mogą utworzyć złośliwy przepis automatyzacji, który umożliwia przejęcie sesji dowolnego użytkownika, w tym administratora.
Wpływ biznesowy
Luka umożliwia całkowite ominięcie mechanizmów uwierzytelniania i przejęcie kontroli nad kontem użytkownika o wysokich uprawnieniach, co stwarza poważne zagrożenie dla bezpieczeństwa witryny i danych. Operatorzy stron opartych na WordPress z tą wtyczką powinni traktować tę lukę jako krytyczną i priorytetowo podjąć działania naprawcze, aby zapobiec potencjalnym atakom i utracie kontroli nad systemem.
Rekomendowane działania administratora
Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki InfusedWoo Pro u dostawcy i jej wdrożenie. W przypadku braku łatki należy ograniczyć ekspozycję serwisu, monitorować logi pod kątem podejrzanych żądań AJAX oraz rozważyć tymczasowe wyłączenie wtyczki. Niezbędne jest również przeprowadzenie audytu bezpieczeństwa i weryfikacja integralności kont użytkowników o wysokich uprawnieniach.