CVE-2024-1290: luka w wtyczce User Registration WordPress umożliwiająca przejęcie kont

Co wiadomo

Wtyczka User Registration dla WordPress w wersjach przed 2.12 pozwala użytkownikom z rolą co najmniej współtwórcy na generowanie i ujawnianie ważnych linków do resetu haseł poprzez wrażliwe shortcode'y. Może to prowadzić do przejęcia dowolnych kont.

Wpływ biznesowy

Atakujący z uprawnieniami współtwórcy mogą wykorzystać lukę do uzyskania dostępu do kont innych użytkowników, co stanowi poważne zagrożenie dla bezpieczeństwa i integralności serwisu. Może to skutkować utratą danych, naruszeniem prywatności oraz obniżeniem zaufania klientów i użytkowników platformy.

Rekomendowane działania administratora

Zaleca się niezwłoczne zaktualizowanie wtyczki User Registration do wersji 2.12 lub nowszej. W przypadku braku możliwości aktualizacji, ogranicz uprawnienia użytkowników do minimum niezbędnego do pracy, monitoruj logi pod kątem podejrzanych działań oraz rozważ tymczasowe wyłączenie wtyczki. Regularnie przeglądaj i audytuj dostęp użytkowników oraz stosuj zasady najmniejszych uprawnień.

Źródła

• NVD
• Reference