CVE-2024-11285: krytyczna luka w wtyczce WP JobHunt umożliwiająca przejęcie konta

Co wiadomo

Wtyczka WP JobHunt dla WordPressa do wersji 7.1 włącznie zawiera krytyczną lukę pozwalającą na eskalację uprawnień poprzez przejęcie konta. Atakujący może zmienić adres e-mail dowolnego użytkownika, w tym administratora, bez uwierzytelnienia, co umożliwia reset hasła i dostęp do konta.

Wpływ biznesowy

Luka ta stanowi poważne zagrożenie dla bezpieczeństwa witryn korzystających z WP JobHunt, ponieważ umożliwia nieautoryzowany dostęp do kont administracyjnych. Może to prowadzić do przejęcia kontroli nad stroną, modyfikacji treści lub wycieku danych. Operatorzy powinni traktować tę podatność jako krytyczną i priorytetowo zabezpieczyć swoje systemy.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki WP JobHunt u dostawcy oraz ich wdrożenie. W międzyczasie warto ograniczyć dostęp do panelu administracyjnego, monitorować logi pod kątem podejrzanych zmian adresów e-mail i resetów haseł oraz weryfikować konta użytkowników pod kątem nieautoryzowanych modyfikacji.

Źródła

• NVD
• Reference
• Reference