Уразливість Insecure Direct Object Reference у плагіні User Registration & Membership для WordPress

Що відомо

Плагін User Registration & Membership для WordPress версій до 4.2.1 включно має уразливість Insecure Direct Object Reference через відсутність перевірки параметра 'member_id' у функції create_stripe_subscription(). Це дозволяє неавторизованим зловмисникам видаляти довільні облікові записи користувачів, зареєстрованих через плагін.

Бізнес-вплив

Уразливість може призвести до втрати облікових записів користувачів, що негативно впливає на довіру клієнтів і безпеку даних. Власники вебсайтів на базі WordPress, які використовують цей плагін, ризикують зіткнутися з порушенням цілісності користувацьких даних та потенційними репутаційними втратами.

Рекомендовані дії адміністратора

Рекомендується негайно перевірити наявність оновлень плагіна від розробника та застосувати їх. Якщо оновлення недоступні, слід обмежити доступ до функцій плагіна, провести аудит логів на предмет підозрілої активності та посилити моніторинг безпеки. Важливо також розглянути тимчасове відключення плагіна до усунення вразливості.

Джерела

• NVD
• Reference
• Reference
• Reference