CVE-2024-11643: Luka w wtyczce AllAccessible dla WordPress umożliwiająca eskalację uprawnień

Co wiadomo

Wtyczka Accessibility by AllAccessible dla WordPress do wersji 1.3.4 posiada lukę pozwalającą na nieautoryzowaną modyfikację ustawień poprzez brak odpowiedniej weryfikacji uprawnień w funkcji AllAccessible_save_settings. Atakujący z poziomem subskrybenta lub wyższym mogą zmienić domyślną rolę rejestracji na administratora i włączyć rejestrację użytkowników, co umożliwia uzyskanie dostępu administracyjnego.

Wpływ biznesowy

Luka ta stanowi poważne zagrożenie dla właścicieli stron WordPress korzystających z tej wtyczki, ponieważ pozwala na eskalację uprawnień do poziomu administratora bez odpowiednich uprawnień. Może to prowadzić do pełnego przejęcia kontroli nad witryną, modyfikacji treści, instalacji złośliwego oprogramowania lub kradzieży danych. Operatorzy powinni traktować tę podatność jako wysokiego ryzyka i odpowiednio ją priorytetyzować.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki AllAccessible i ich wdrożenie. W przypadku braku łatki należy ograniczyć dostęp użytkowników do poziomu subskrybenta i dokładnie monitorować logi pod kątem podejrzanych zmian ustawień. Dodatkowo warto rozważyć tymczasowe wyłączenie rejestracji użytkowników oraz przeprowadzić audyt uprawnień na stronie.

Źródła

• NVD
• Reference
• Reference
• Reference