Analityczne wykorzystywanie plików cookies
Luka wtyczki Invoice123 dla WordPress umożliwiająca obejście autoryzacji
Luka w Invoice123 dla WordPress pozwala użytkownikom z uprawnieniami subskrybenta modyfikować klucz API i ustawienia. Sprawdź zalecenia bezpieczeństwa.
- CVSS
- 4.3 MEDIUM
- EPSS
- 20.95%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- -
Co wiadomo
Wtyczka Invoice123 dla WordPress w wersjach do 1.7.0 włącznie posiada lukę pozwalającą na obejście mechanizmów autoryzacji. Atakujący z uprawnieniami subskrybenta lub wyższymi mogą nadpisać klucz API w ustawieniach wtyczki, zmieniać jej konfigurację oraz modyfikować dane stawek podatkowych WooCommerce.
Wpływ biznesowy
Luka może prowadzić do nieautoryzowanych zmian w konfiguracji wtyczki fakturującej oraz danych podatkowych sklepu WooCommerce, co może skutkować błędami w rozliczeniach i potencjalnymi stratami finansowymi. Administratorzy stron WordPress korzystających z Invoice123 powinni zwrócić uwagę na możliwość nadużyć przez użytkowników z podstawowymi uprawnieniami.
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Invoice123 i jej instalację. W przypadku braku łatki należy ograniczyć dostęp użytkowników do poziomu subskrybenta i wyżej, monitorować logi pod kątem nieautoryzowanych zmian oraz rozważyć tymczasowe wyłączenie wtyczki. Warto również przejrzeć i zweryfikować konfigurację wtyczki oraz dane podatkowe WooCommerce.