Luka eskalacji uprawnień w wtyczce WPC Admin Columns dla WordPress

Co wiadomo

Wtyczka WPC Admin Columns w wersjach 2.0.6 do 2.1.0 posiada lukę umożliwiającą eskalację uprawnień. Atakujący z poziomem dostępu Subskrybenta lub wyższym mogą zmienić swoją rolę na administratora poprzez niewłaściwe ograniczenie aktualizacji wartości meta użytkownika.

Wpływ biznesowy

Luka ta pozwala na podniesienie uprawnień przez użytkowników o niskim poziomie dostępu, co może prowadzić do pełnej kontroli nad stroną WordPress. W efekcie atakujący mogą modyfikować treści, instalować złośliwe oprogramowanie lub uzyskać dostęp do wrażliwych danych, zagrażając integralności i bezpieczeństwu infrastruktury IT.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki WPC Admin Columns i ich wdrożenie. W przypadku braku łatki należy ograniczyć dostęp użytkowników do poziomu Subskrybenta i przeprowadzić przegląd logów pod kątem podejrzanej aktywności. Dodatkowo warto rozważyć tymczasowe wyłączenie wtyczki do czasu usunięcia podatności.

Źródła

• NVD
• Reference
• Reference