Уразливість у плагіні TrueBooker для WordPress дозволяє змінювати паролі без автентифікації

Що відомо

Плагін TrueBooker для WordPress версій до 1.2.4 не перевіряє право власності на акаунт при скиданні пароля через фронтенд, що дозволяє зловмисникам без автентифікації встановлювати довільний пароль на будь-який акаунт, включно з адміністративним, і захоплювати контроль над сайтом.

Бізнес-вплив

Ця уразливість створює серйозну загрозу безпеці вебсайтів на базі WordPress із встановленим плагіном TrueBooker, оскільки зловмисники можуть отримати повний контроль над сайтом, що призведе до компрометації даних, порушення роботи та втрати довіри користувачів. Власники інфраструктури повинні терміново оцінити ризики та вжити заходів для захисту ресурсів.

Рекомендовані дії адміністратора

Рекомендується негайно оновити плагін TrueBooker до версії 1.2.4 або новішої, перевірити журнали доступу на предмет підозрілої активності та обмежити доступ до функцій скидання пароля. Якщо оновлення неможливе, слід розглянути тимчасове відключення плагіна або обмеження мережевого доступу. DataHouse підтримує перевірку версій плагінів та допомагає у зменшенні мережевого впливу та аналізі логів для підвищення безпеки.

Джерела

• NVD
• Reference