Уразливість IDonate WordPress плагіна дозволяє видаляти користувачів

Що відомо

Плагін IDonate для WordPress версій 2.0.0–2.1.9 має уразливість Insecure Direct Object Reference, що дозволяє аутентифікованим користувачам з рівнем доступу Subscriber і вище видаляти довільні облікові записи користувачів, включно з адміністраторами. Уразливість виникає через недостатню перевірку параметра user_id у функції admin_post_donor_delete().

Бізнес-вплив

Ця уразливість може призвести до несанкціонованого видалення облікових записів користувачів, включно з адміністраторами, що ставить під загрозу цілісність і доступність системи управління сайтом. Для ІТ-операторів це означає потенційні перебої в роботі, втрату даних користувачів і необхідність відновлення доступу та облікових записів.

Рекомендовані дії адміністратора

Рекомендується негайно перевірити наявність оновлень плагіна IDonate від розробника themeatelier і застосувати їх. Якщо оновлення недоступні, слід обмежити доступ користувачів до рівня нижче Subscriber, переглянути журнали безпеки на предмет підозрілої активності та мінімізувати експозицію плагіна. Також варто розглянути тимчасове відключення плагіна до виправлення уразливості.

Джерела

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference