Уразливість у плагіні paid memberships pro дозволяє витікати чутливим даним користувачів

Що відомо

У плагіні WordPress pmpro-member-directory версій до 1.2.6 існує уразливість SQL-ін'єкції, що дозволяє користувачам з роллю не нижче contributor отримувати доступ до чутливої інформації інших користувачів, включно з хешами паролів. Це може призвести до компрометації облікових записів.

Бізнес-вплив

Для власників сайтів на WordPress, які використовують плагін paid memberships pro, ця уразливість створює ризик витоку конфіденційних даних користувачів, що може вплинути на довіру клієнтів і безпеку платформи. Зловмисники можуть використати отриману інформацію для подальших атак або несанкціонованого доступу.

Рекомендовані дії адміністратора

Рекомендується оновити плагін pmpro-member-directory до версії 1.2.6 або новішої, де ця уразливість виправлена. Якщо оновлення наразі неможливе, слід обмежити доступ користувачів з роллю contributor до плагіна, переглянути журнали активності на предмет підозрілих дій та мінімізувати експозицію сайту в мережі. Також варто регулярно перевіряти оновлення від розробника.

Джерела

• NVD
• Reference