CVE-2024-9105: Błąd omijania uwierzytelniania w wtyczce UltimateAI dla WordPress

Co wiadomo

Wtyczka UltimateAI dla WordPress w wersjach do 2.8.3 włącznie posiada krytyczną lukę umożliwiającą nieautoryzowanym osobom zalogowanie się jako dowolny użytkownik, w tym administrator, poprzez niewystarczającą weryfikację użytkownika w funkcji 'ultimate_ai_register_or_login_with_google'.

Wpływ biznesowy

Luka ta pozwala atakującym na przejęcie kont o wysokich uprawnieniach bez konieczności posiadania hasła, co może prowadzić do pełnej kompromitacji witryny, utraty danych oraz zakłócenia działania usług. Operatorzy IT powinni traktować tę podatność jako krytyczną i priorytetowo podejść do jej eliminacji, aby zabezpieczyć infrastrukturę i dane.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki UltimateAI u dostawcy oraz ich wdrożenie. W międzyczasie warto ograniczyć dostęp do funkcji logowania przez Google, monitorować logi pod kątem podejrzanych prób logowania oraz rozważyć tymczasowe wyłączenie wtyczki, jeśli to możliwe. Priorytetem jest szybka reakcja i minimalizacja ryzyka nieautoryzowanego dostępu.

Źródła

• NVD
• Reference
• Reference