Krytyczna luka uwierzytelniania w wtyczce JSON API Auth dla WordPress

Co wiadomo

Wtyczka JSON API Auth dla WordPress do wersji 3.1.2 umożliwia nieautoryzowanym użytkownikom uzyskanie ważnego ciasteczka sesji administratora poprzez błędne buforowanie odpowiedzi. Luka wynika z niewłaściwego cachowania wyników kontrolera bez uwzględnienia metody HTTP i treści POST, co pozwala na przejęcie sesji administratora.

Wpływ biznesowy

Eksploatacja tej luki pozwala atakującemu na pełne uwierzytelnienie się jako administrator strony WordPress, co może prowadzić do przejęcia kontroli nad witryną, modyfikacji treści, kradzieży danych lub instalacji złośliwego oprogramowania. Zagrożenie jest krytyczne, zwłaszcza jeśli wtyczka PI-Media/json-api jest aktywna i używana z włączonym kontrolerem Auth.

Rekomendowane działania administratora

Zaleca się natychmiastową aktualizację wtyczki JSON API Auth do wersji po 3.1.2, jeśli jest dostępna, lub wyłączenie jej do czasu załatania. Należy również zweryfikować obecność i konfigurację wtyczki PI-Media/json-api, ograniczyć dostęp do endpointów API, monitorować logi pod kątem podejrzanych żądań oraz ograniczyć ekspozycję sieciową. W przypadku braku oficjalnej poprawki, rozważ wdrożenie tymczasowych środków zapobiegawczych. DataHouse może pomóc w weryfikacji wersji, zarządzaniu aktualizacjami oraz monitorowaniu bezpieczeństwa środowiska.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference