CVE-2021-4445: luka wtyczki Premium Addons for Elementor umożliwiająca nieautoryzowane zmiany opcji

Co wiadomo

Wtyczka Premium Addons for Elementor do WordPressa w wersjach do 4.5.1 włącznie posiada lukę umożliwiającą uwierzytelnionym użytkownikom z rolą subskrybenta+ zmianę wybranych opcji na wartość 1. Problem wynika z braku odpowiednich kontroli uprawnień i tokenów nonce w akcji AJAX pa_dismiss_admin_notice.

Wpływ biznesowy

Atakujący z niskimi uprawnieniami mogą zmieniać ustawienia wtyczki, co może prowadzić do nieautoryzowanych modyfikacji konfiguracji serwisu WordPress. Może to wpłynąć na stabilność i bezpieczeństwo strony, a także na integralność danych. Operatorzy powinni traktować tę lukę jako średniego ryzyka i odpowiednio ją zaadresować, aby zapobiec potencjalnym nadużyciom.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Premium Addons for Elementor u dostawcy i ich wdrożenie. W przypadku braku łatki należy ograniczyć dostęp do panelu administracyjnego tylko do zaufanych użytkowników oraz monitorować logi pod kątem podejrzanych działań związanych z AJAX pa_dismiss_admin_notice. Warto również przeprowadzić przegląd uprawnień użytkowników i ograniczyć role subskrybenta+ tam, gdzie to możliwe.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference