Analityczne wykorzystywanie plików cookies
CVE-2024-8121: luka w wtyczce WP Extended umożliwiająca zmianę nazw użytkowników
Luka w wtyczce WP Extended pozwala użytkownikom z niskimi uprawnieniami zmieniać nazwy kont administratorów WordPress. Sprawdź zalecenia bezpieczeństwa.
- CVSS
- 5.4 MEDIUM
- EPSS
- 24.69%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- wp extended
Co wiadomo
Wtyczka The Ultimate WordPress Toolkit – WP Extended do wersji 3.0.8 zawiera lukę pozwalającą na nieautoryzowaną zmianę nazw użytkowników administratorów. Atakujący z uprawnieniami subskrybenta lub wyższymi mogą zmienić nazwę użytkownika admina, jeśli użyto domyślnej nazwy 'admin'.
Wpływ biznesowy
Luka umożliwia atakującym z niskim poziomem dostępu zmianę nazwy konta administratora, co może prowadzić do utraty kontroli nad stroną WordPress. Może to skutkować eskalacją uprawnień i potencjalnym przejęciem serwisu, wpływając na dostępność i bezpieczeństwo infrastruktury IT.
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki WP Extended i ich wdrożenie. W przypadku braku łatki należy ograniczyć dostęp użytkowników do minimum, monitorować logi pod kątem podejrzanych zmian nazw użytkowników oraz rozważyć tymczasowe wyłączenie wtyczki. Priorytetowo traktuj przegląd uprawnień użytkowników i stosuj zasadę najmniejszych uprawnień.