Analityczne wykorzystywanie plików cookies
CVE-2024-9890: Luka wtyczki User Toolkit dla WordPress umożliwiająca obejście uwierzytelniania
Wtyczka User Toolkit WordPress do 1.2.3 umożliwia atakującym obejście uwierzytelniania i przejęcie konta administratora. Sprawdź zalecenia bezpieczeństwa.
- CVSS
- 8.8 HIGH
- EPSS
- 59.97%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- -
Co wiadomo
Wtyczka User Toolkit dla WordPress w wersjach do 1.2.3 włącznie posiada lukę pozwalającą na obejście uwierzytelniania poprzez niewłaściwą weryfikację uprawnień w funkcji 'switchUser'. Atakujący z uprawnieniami subskrybenta lub wyższymi mogą zalogować się jako dowolny użytkownik, w tym administrator.
Wpływ biznesowy
Luka ta stanowi poważne zagrożenie dla bezpieczeństwa witryn WordPress, ponieważ umożliwia nieautoryzowany dostęp do kont o wyższych uprawnieniach, co może prowadzić do przejęcia kontroli nad stroną, modyfikacji treści lub eskalacji ataków. Operatorzy powinni traktować tę podatność jako wysokiego ryzyka i priorytetowo ją adresować.
Rekomendowane działania administratora
Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki User Toolkit i ich zastosowanie. W przypadku braku łatki, należy ograniczyć dostęp do panelu administracyjnego, monitorować logi pod kątem podejrzanych logowań oraz rozważyć tymczasowe wyłączenie wtyczki. Priorytetem jest szybka reakcja i minimalizacja ekspozycji na atak.