Уразливість LearnPress дозволяє отримати доступ до чужих замовлень

Що відомо

Плагін LearnPress для WordPress має уразливість Insecure Direct Object Reference у версіях до 4.2.6.3, що дозволяє автентифікованим користувачам отримувати інформацію про замовлення інших користувачів і гостей. Це може призвести до несанкціонованої реєстрації на платні курси та розкриття електронних адрес користувачів.

Бізнес-вплив

Уразливість ставить під загрозу конфіденційність даних користувачів і може призвести до фінансових втрат через несанкціоноване використання платних курсів. Власники сайтів на базі WordPress із встановленим LearnPress повинні враховувати ризики витоку персональних даних та можливі репутаційні збитки. Середній рівень загрози вимагає своєчасного реагування для мінімізації впливу.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна LearnPress від розробника thimpress і встановити їх у разі доступності. Якщо оновлення відсутні, слід обмежити доступ до функцій замовлень, провести аудит логів на предмет підозрілої активності та зменшити експозицію сайту. Важливо також інформувати користувачів про можливі ризики та контролювати доступ до платних курсів.

Джерела

• NVD
• Reference
• Reference