Analityczne wykorzystywanie plików cookies
CVE-2024-12171: luka eskalacji uprawnień w wtyczce wsdesk dla WordPress
Wtyczka wsdesk dla WordPress ma lukę pozwalającą na tworzenie kont administratorów przez użytkowników z niskimi uprawnieniami. Sprawdź zalecenia bezpieczeństwa.
- CVSS
- 8.8 HIGH
- EPSS
- 38.9%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- wsdesk
Co wiadomo
Wtyczka ELEX WordPress HelpDesk & Customer Ticketing System (wsdesk) do WordPressa posiada lukę eskalacji uprawnień w wersjach do 3.2.6 włącznie. Brak weryfikacji uprawnień przy akcji AJAX 'eh_crm_agent_add_user' pozwala uwierzytelnionym użytkownikom z poziomem Subskrybenta lub wyższym na tworzenie kont administratorów.
Wpływ biznesowy
Luka umożliwia atakującym z podstawowym dostępem do panelu WordPressa podniesienie swoich uprawnień do poziomu administratora, co może prowadzić do pełnej kompromitacji witryny i jej zasobów. Operatorzy IT powinni traktować tę podatność jako wysokiego ryzyka, zwłaszcza w środowiskach z wieloma użytkownikami i ograniczonymi uprawnieniami.
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki wsdesk u dostawcy i ich wdrożenie. W międzyczasie warto ograniczyć dostęp do panelu WordPressa tylko do zaufanych użytkowników oraz monitorować logi pod kątem nieautoryzowanych prób tworzenia kont administracyjnych. Przegląd uprawnień użytkowników i ich ograniczenie do niezbędnego minimum również zwiększy bezpieczeństwo.