Krytyczna luka wtyczki CryptoPayment Gateway WordPress umożliwia nieautoryzowane operacje administracyjne

Co wiadomo

Wtyczka CryptoPayment Gateway dla WordPress w wersjach od 1.2.1 do 1.2.2 nie sprawdza uprawnień na jednym z endpointów AJAX, co pozwala nieautoryzowanym użytkownikom na wykonywanie działań administracyjnych, takich jak usuwanie plików, nadpisywanie konfiguracji bramki płatności oraz odzyskiwanie danych portfela w postaci niezaszyfrowanej.

Wpływ biznesowy

Luka o krytycznym poziomie zagrożenia (CVSS 10.0) może prowadzić do całkowitego przejęcia kontroli nad konfiguracją płatności oraz wycieku poufnych danych portfeli, co stwarza poważne ryzyko finansowe i operacyjne dla właścicieli stron korzystających z tej wtyczki. Atakujący mogą manipulować płatnościami lub uszkodzić integralność serwera, co wpływa na ciągłość działania i reputację firmy.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie wersji wtyczki CryptoPayment Gateway i aktualizację do najnowszej dostępnej wersji, jeśli jest dostępna. W przypadku braku aktualizacji należy ograniczyć dostęp do endpointów AJAX, przeanalizować logi pod kątem podejrzanych działań oraz rozważyć tymczasowe wyłączenie wtyczki. Warto również zweryfikować kopie zapasowe i monitorować sieć pod kątem nietypowego ruchu. DataHouse oferuje wsparcie w zakresie weryfikacji wersji, zarządzania aktualizacjami oraz monitoringu bezpieczeństwa.

Źródła

• NVD
• Reference