Krytyczna luka eskalacji uprawnień w wtyczce Amelia (Premium) dla WordPress

Co wiadomo

Wtyczka Booking for Appointments and Events Calendar – Amelia (Premium) w wersjach 8.0 do 9.6.2 posiada krytyczną lukę pozwalającą na eskalację uprawnień. Atakujący mogą wykorzystać niewystarczającą walidację parametru 'type', aby podnieść swoje uprawnienia do roli menedżera, a następnie administratora, zmieniając hasło konta administratora.

Wpływ biznesowy

Luka umożliwia nieautoryzowanym użytkownikom podniesienie uprawnień do poziomu administratora WordPress, co może prowadzić do pełnej kompromitacji witryny, utraty danych oraz przerw w działaniu usług. Operatorzy powinni traktować tę podatność jako krytyczną i priorytetowo podejść do jej eliminacji, aby zapobiec potencjalnym atakom i naruszeniom bezpieczeństwa.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Amelia i ich wdrożenie. W przypadku braku natychmiastowej poprawki należy ograniczyć dostęp do punktów aktualizacji klientów oraz monitorować logi pod kątem podejrzanych działań związanych z rolami użytkowników. Warto również zweryfikować konfigurację uprawnień i rozważyć tymczasowe ograniczenie funkcji wtyczki. DataHouse wspiera weryfikację wersji oprogramowania oraz monitorowanie i ograniczanie ekspozycji sieciowej w celu minimalizacji ryzyka.

Źródła

• NVD
• Reference
• Reference