Уразливість у плагіні MemberDash для WordPress дозволяє змінювати паролі користувачів

Що відомо

Плагін MemberDash для WordPress має критичну уразливість Insecure Direct Object Reference у версіях до 1.8.5 включно. Зловмисники можуть змінити пароль будь-якого користувача, включно з адміністраторами, без автентифікації, використовуючи параметр 'id' під час реєстрації.

Бізнес-вплив

Ця уразливість дозволяє неавторизованим зловмисникам отримати контроль над обліковими записами користувачів WordPress, включно з адміністраторами, що може призвести до повного компрометації сайту. Втрата контролю над адміністративними обліковими записами ставить під загрозу цілісність, конфіденційність та доступність вебресурсу.

Рекомендовані дії адміністратора

Рекомендується негайно перевірити наявність оновлень плагіна MemberDash та встановити останню версію, яка усуває цю уразливість. Якщо оновлення недоступне, слід обмежити доступ до функцій реєстрації та ретельно перевірити журнали на предмет підозрілої активності. Також варто провести аудит облікових записів користувачів і змінити паролі адміністративних акаунтів. DataHouse підтримує перевірку версій плагінів та допомагає у зниженні ризиків експозиції мережі.

Джерела

• NVD
• Reference
• Reference