Krytyczna luka eskalacji uprawnień w wtyczce SakolaWP dla WordPress

Co wiadomo

Wtyczka School Management System – SakolaWP dla WordPress do wersji 1.0.8 włącznie posiada lukę pozwalającą nieautoryzowanym użytkownikom na rejestrację jako administratorzy. Problem wynika z niewłaściwego ograniczenia ról podczas rejestracji użytkowników.

Wpływ biznesowy

Luka o krytycznym poziomie CVSS 9.8 umożliwia atakującym uzyskanie pełnych uprawnień administracyjnych bez uwierzytelnienia, co może prowadzić do przejęcia kontroli nad stroną WordPress. Operatorzy CMS powinni traktować tę podatność jako wysokie ryzyko dla integralności i bezpieczeństwa systemu zarządzania treścią.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki SakolaWP i ich wdrożenie. W przypadku braku łatki należy ograniczyć możliwość rejestracji nowych użytkowników, monitorować logi pod kątem podejrzanych rejestracji oraz rozważyć tymczasowe wyłączenie funkcji rejestracji. Priorytetem jest szybka reakcja w celu minimalizacji ryzyka eskalacji uprawnień.

Źródła

• NVD
• Reference
• Reference