Luka wtyczki 3D Viewer dla WordPress umożliwia obejście autoryzacji

Co wiadomo

Wtyczka 3D Viewer – 3D Model Viewer – Augmented Reality – Virtual Try On dla WordPress do wersji 2.0.1 włącznie posiada lukę pozwalającą na obejście mechanizmów autoryzacji. Użytkownicy z uprawnieniami subskrybenta i wyższymi mogą zmieniać ustawienia wtyczki poprzez nieprawidłowo zabezpieczony endpoint REST API.

Wpływ biznesowy

Atakujący z dostępem na poziomie subskrybenta mogą modyfikować konfigurację wtyczki, co może prowadzić do nieautoryzowanych zmian w funkcjonalności serwisu. Może to wpłynąć na stabilność i bezpieczeństwo witryny WordPress, zwłaszcza jeśli wtyczka jest kluczowa dla działania lub prezentacji treści 3D.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki u jej dostawcy oraz ich wdrożenie. W międzyczasie warto ograniczyć dostęp do kont użytkowników z uprawnieniami subskrybenta i wyższymi oraz monitorować logi REST API pod kątem podejrzanych zmian w ustawieniach wtyczki. Priorytetowo należy ocenić ryzyko i wprowadzić dodatkowe zabezpieczenia dostępu.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference