Krytyczna luka w wtyczce Eventer dla WordPress umożliwiająca przejęcie konta

Co wiadomo

Wtyczka Eventer dla WordPress do wersji 4.4.2 posiada krytyczną lukę w mechanizmie resetowania haseł, gdzie klucz resetujący jest przechowywany w postaci niezaszyfrowanej. Atakujący mogą wykorzystać ten klucz do zmiany hasła dowolnego użytkownika, co w połączeniu z inną luką, np. SQL Injection, umożliwia przejęcie kont administratorów.

Wpływ biznesowy

Luka ta stwarza poważne ryzyko dla właścicieli stron WordPress korzystających z wtyczki Eventer, ponieważ umożliwia nieautoryzowany dostęp do kont użytkowników, w tym administratorów. Może to prowadzić do pełnego przejęcia kontroli nad serwisem, wycieku danych oraz dalszych ataków na infrastrukturę IT.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie wersji wtyczki Eventer i aktualizację do najnowszej dostępnej wersji, jeśli została wydana poprawka. W przypadku braku aktualizacji należy ograniczyć dostęp do funkcji resetowania haseł, monitorować logi pod kątem podejrzanych działań oraz rozważyć tymczasowe wyłączenie wtyczki. Dodatkowo warto przeprowadzić przegląd zabezpieczeń pod kątem innych podatności, takich jak SQL Injection.

Źródła

• NVD
• Reference
• Reference