Luka wtyczki JAY Login & Register dla WordPress umożliwia eskalację uprawnień

Co wiadomo

Wtyczka JAY Login & Register dla WordPress w wersjach do 2.6.03 włącznie posiada lukę pozwalającą użytkownikom z poziomem Subskrybenta na podniesienie swoich uprawnień do administratora poprzez funkcję aktualizacji danych użytkownika.

Wpływ biznesowy

Atakujący z kontem subskrybenta mogą wykorzystać tę lukę do uzyskania pełnej kontroli nad witryną WordPress, co stwarza poważne ryzyko dla integralności i bezpieczeństwa danych oraz może prowadzić do nieautoryzowanych zmian i potencjalnych strat biznesowych.

Rekomendowane działania administratora

Administratorzy powinni niezwłocznie zweryfikować wersję wtyczki JAY Login & Register i zaktualizować ją do najnowszej dostępnej wersji. W przypadku braku dostępnej poprawki zaleca się ograniczenie dostępu użytkowników oraz monitorowanie logów pod kątem podejrzanych działań związanych z aktualizacją profili użytkowników.

Źródła

• NVD
• Reference
• Reference