یک آسیب‌پذیری امنیتی در افزونه FooSales برای سیستم مدیریت محتوای وردپرس (WordPress) شناسایی شده است که می‌تواند منجر به دسترسی غیرمجاز و تصاحب کامل حساب‌های کاربری شود.
جزئیات فنی آسیب‌پذیری
در نسخه‌های پیش از 1.43.3 این افزونه، مکانیزم‌های اعتبارسنجی برای بررسی صلاحیت کاربر درخواست‌کننده (Authenticated Caller) به درستی پیاده‌سازی نشده است. این نقص امنیتی به هر کاربر احراز هویت شده اجازه می‌دهد تا به جای کاربر دیگری (حتی کاربرانی با سطح دسترسی Administrator) درخواست ارسال کرده و به عنوان آن کاربر عمل کند.
پیامدهای امنیتی
سوءاستفاده از این نقص امنیتی می‌تواند منجر به موارد زیر شود:
- افشای اطلاعات: دسترسی به جزئیات حساس حساب کاربری هدف.
- تصاحب حساب (Account Takeover): کنترل کامل حساب‌های کاربری، از جمله حساب‌های مدیر سیستم.
- ارتقاء سطح دسترسی (Privilege Escalation): تبدیل یک کاربر عادی به مدیر سایت.
به تمامی مدیران وب‌سایت‌هایی که از این افزونه استفاده می‌کنند توصیه می‌شود در سریع‌ترین زمان ممکن، آن را به نسخه 1.43.3 یا نسخه‌های جدیدتر به‌روزرسانی کنند تا از وقوع حملات احتمالی جلوگیری شود.
