Krytyczna luka wtyczki WPMobile.App umożliwiająca przejęcie kont przez pominięcie autoryzacji

Co wiadomo

Wtyczka WPMobile.App dla WordPressa do wersji 11.82 posiada krytyczną lukę pozwalającą nieautoryzowanym atakującym na uzyskanie linków do resetu haseł dowolnych użytkowników, w tym administratorów. Luka wynika z niewłaściwej weryfikacji uprawnień i wymaga włączonej funkcji mail-to-push, która kopiuje e-maile resetujące hasło do kolejki push.

Wpływ biznesowy

Atakujący mogą wykorzystać tę lukę do przejęcia kont użytkowników WordPressa, co zagraża integralności i bezpieczeństwu witryny oraz danych. W szczególności konta administratorów mogą zostać przejęte, co umożliwia pełną kontrolę nad stroną. Incydent może skutkować utratą zaufania użytkowników i poważnymi konsekwencjami biznesowymi.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie wersji wtyczki WPMobile.App i aktualizację do najnowszej dostępnej wersji, jeśli jest dostępna. Jeśli aktualizacja nie jest możliwa, należy rozważyć wyłączenie funkcji mail-to-push (wpmobile_auto_mail=1) oraz ograniczyć dostęp do kolejki push. Dodatkowo warto przejrzeć logi pod kątem podejrzanych aktywności i monitorować konta użytkowników. W przypadku wątpliwości zalecamy kontakt z zespołem wsparcia DataHouse w celu weryfikacji wersji, zarządzania łatami i ograniczenia ekspozycji sieciowej.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference