Luka w Offsprout Page Builder dla WordPress umożliwia eskalację uprawnień

Co wiadomo

Wtyczka Offsprout Page Builder dla WordPress w wersjach 2.2.1 do 2.15.2 posiada lukę pozwalającą użytkownikom z uprawnieniami Contributor i wyższymi na pełną eskalację uprawnień poprzez modyfikację danych użytkownika. Atakujący mogą zmieniać swoje uprawnienia na administratora, co stwarza poważne zagrożenie dla bezpieczeństwa witryny.

Wpływ biznesowy

Ta luka umożliwia nieautoryzowanym użytkownikom z ograniczonym dostępem przejęcie pełnej kontroli nad stroną WordPress, co może prowadzić do nieautoryzowanych zmian, kradzieży danych lub całkowitego przejęcia serwisu. Operatorzy IT powinni traktować tę podatność jako krytyczną, zwłaszcza w środowiskach z wieloma użytkownikami o różnym poziomie dostępu.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Offsprout Page Builder i ich wdrożenie. W przypadku braku łatki należy ograniczyć dostęp użytkowników do minimum, monitorować logi pod kątem podejrzanych działań oraz przeprowadzić audyt uprawnień użytkowników. Priorytetowo traktuj aktualizacje i weryfikację konfiguracji wtyczki.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference