Luka krytyczna w wtyczce ThemeGrill Demo Importer umożliwiająca obejście uwierzytelniania

Co wiadomo

Wtyczka ThemeGrill Demo Importer dla WordPress w wersjach 1.3.4 do 1.6.1 posiada lukę pozwalającą na obejście uwierzytelniania poprzez brak weryfikacji uprawnień w funkcji reset_wizard_actions. Atakujący z dostępem uwierzytelnionym może zresetować bazę danych WordPress i automatycznie zalogować się jako administrator, jeśli istnieje użytkownik o nazwie 'admin'.

Wpływ biznesowy

Ta krytyczna luka naraża witryny WordPress na przejęcie kontroli przez atakujących, co może skutkować utratą danych, nieautoryzowanym dostępem do panelu administracyjnego oraz poważnymi zakłóceniami w działaniu serwisu. Operatorzy infrastruktury powinni traktować tę podatność jako wysokie ryzyko dla bezpieczeństwa swoich systemów.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie wersji wtyczki ThemeGrill Demo Importer i aktualizację do najnowszej dostępnej wersji, jeśli została wydana poprawka. W przypadku braku aktualizacji należy ograniczyć dostęp do funkcji wtyczki, monitorować logi pod kątem podejrzanych działań oraz rozważyć tymczasowe wyłączenie wtyczki. Priorytetowo należy przeprowadzić audyt użytkowników i zmienić hasła administratorów, zwłaszcza konta 'admin'.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference