Luka wtyczki WP Component WordPress umożliwia przejęcie kontroli nad stroną

Co wiadomo

Wtyczka WP Component WordPress do wersji 2.2.4 nie sprawdza uprawnień ani nonce dla jednej z akcji dostępnych dla niezalogowanych użytkowników. Pozwala to na nadpisanie dowolnych opcji witryny przez atakujących bez uwierzytelnienia, co na instalacji jednosesyjnej może skutkować pełnym przejęciem kontroli poprzez włączenie rejestracji z rolą administratora.

Wpływ biznesowy

Atakujący mogą zmienić ustawienia strony internetowej, co może prowadzić do całkowitego przejęcia witryny i uzyskania uprawnień administratora. Taka sytuacja stwarza poważne zagrożenie dla integralności, dostępności i bezpieczeństwa danych oraz może skutkować utratą zaufania użytkowników i stratami biznesowymi.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki WP Component WordPress i ich wdrożenie. W międzyczasie ogranicz dostęp do funkcji wtyczki dla niezalogowanych użytkowników oraz monitoruj logi pod kątem podejrzanych działań. Przeanalizuj konfigurację rejestracji użytkowników i rozważ jej tymczasowe wyłączenie. DataHouse wspiera weryfikację wersji oprogramowania, zarządzanie łatami oraz ograniczanie ekspozycji sieciowej, co pomaga w minimalizacji ryzyka.

Źródła

• NVD
• Reference