Analityczne wykorzystywanie plików cookies
CVE-2024-9518: podatność eskalacji uprawnień w wtyczce UserPlus dla WordPress
Krytyczna podatność w UserPlus dla WordPress pozwala na eskalację uprawnień przez nieautoryzowanych użytkowników. Zalecane szybkie aktualizacje i monitorowanie.
- CVSS
- 9.8 CRITICAL
- EPSS
- 40.95%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- userplus
Co wiadomo
Wtyczka UserPlus dla WordPress w wersjach do 2.0 włącznie posiada krytyczną podatność pozwalającą nieautoryzowanym atakującym na eskalację uprawnień poprzez manipulację parametrem 'role' podczas rejestracji. Problem wynika z niewystarczających ograniczeń funkcji 'form_actions' i 'userplus_update_user_profile'.
Wpływ biznesowy
Atakujący mogą uzyskać wyższe uprawnienia w systemie WordPress bez uwierzytelnienia, co zagraża integralności i bezpieczeństwu witryny. Może to prowadzić do przejęcia kontroli nad stroną, modyfikacji treści lub dalszych ataków na infrastrukturę. Operatorzy powinni traktować tę lukę jako krytyczną i priorytetowo ją adresować.
Rekomendowane działania administratora
Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki UserPlus u dostawcy oraz ich wdrożenie. W międzyczasie warto ograniczyć dostęp do funkcji rejestracji, monitorować logi pod kątem podejrzanych działań oraz rozważyć tymczasowe wyłączenie wtyczki, jeśli to możliwe. Priorytetem jest szybka reakcja w celu minimalizacji ryzyka.