Уразливість Insecure Direct Object Reference у плагіні GamiPress для WordPress

Що відомо

Плагін GamiPress для WordPress версій до 7.9.4 включно має уразливість Insecure Direct Object Reference через відсутність перевірки параметра 'access'. Це дозволяє неавторизованим користувачам переглядати приватні записи активності, включно з нагородами, змінами балансу та подіями з інтегрованих плагінів.

Бізнес-вплив

Уразливість може призвести до розкриття конфіденційної інформації про користувачів, такої як досягнення, бали та активність у системі, що може вплинути на довіру користувачів і безпеку даних. Це створює ризик для власників сайтів, які використовують GamiPress, особливо якщо вони інтегрують плагін з іншими системами, такими як WooCommerce або LearnDash.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна GamiPress та встановити останню версію, яка усуває цю уразливість. Якщо оновлення недоступне, слід обмежити доступ до відповідних функцій, переглянути журнали активності на предмет підозрілих дій та зменшити експозицію плагіна. Також варто контролювати використання nonce та налаштувати додаткові механізми автентифікації.

Джерела

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference