CVE-2025-14427: Luka w Shield Security dla WordPress umożliwia wyłączenie globalnej 2FA e-mail

Co wiadomo

Wtyczka Shield Security dla WordPress do wersji 21.0.9 ma lukę pozwalającą uwierzytelnionym użytkownikom z uprawnieniami subskrybenta lub wyższymi na wyłączenie globalnej dwuskładnikowej autoryzacji e-mail (2FA). Problem wynika z braku odpowiedniej weryfikacji uprawnień przy akcji MfaEmailDisable.

Wpływ biznesowy

Atakujący z dostępem na poziomie subskrybenta mogą obniżyć poziom zabezpieczeń całej witryny, wyłączając wymuszenie 2FA e-mail, co zwiększa ryzyko nieautoryzowanego dostępu i potencjalnych naruszeń bezpieczeństwa. Operatorzy powinni zwrócić uwagę na możliwość manipulacji ustawieniami bezpieczeństwa przez użytkowników o ograniczonych uprawnieniach.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Shield Security i ich wdrożenie. W międzyczasie warto ograniczyć dostęp użytkowników do poziomu subskrybenta oraz monitorować logi pod kątem nietypowych zmian w ustawieniach 2FA. Priorytetem jest weryfikacja i aktualizacja wtyczki do wersji zawierającej poprawkę.

Źródła

• NVD
• Reference
• Reference