Уразливість захоплення облікового запису через скидання пароля в плагіні Invoice Generator для WordPress

Що відомо

Плагін Invoice Generator для WordPress має критичну уразливість, що дозволяє неавторизованим зловмисникам захопити будь-який обліковий запис, включно з адміністраторами, через відсутність перевірки авторизації при скиданні пароля. Уразливість пов’язана з некоректною обробкою параметрів AJAX-запиту.

Бізнес-вплив

Ця уразливість може призвести до повного контролю зловмисника над сайтом WordPress, включно з доступом до адміністративних функцій, що ставить під загрозу цілісність, конфіденційність і доступність вебресурсу. Власники інфраструктури ризикують компрометацією даних та порушенням роботи сервісів.

Рекомендовані дії адміністратора

Рекомендується негайно перевірити наявність оновлень плагіна Invoice Generator від розробника та застосувати їх. Якщо оновлення недоступні, слід обмежити доступ до функції скидання пароля, переглянути журнали безпеки на предмет підозрілої активності та обмежити права користувачів. Також варто розглянути тимчасове відключення плагіна до усунення вразливості.

Джерела

• NVD
• Reference
• Reference
• Reference
• Reference