Krytyczna luka w pt project notebooks umożliwiająca eskalację uprawnień

Co wiadomo

Wtyczka PT Project Notebooks dla WordPress w wersjach 1.0.0 do 1.1.3 posiada lukę pozwalającą na eskalację uprawnień poprzez brak autoryzacji w funkcji wpnb_pto_new_users_add(). Nieautoryzowani atakujący mogą uzyskać uprawnienia administratora.

Wpływ biznesowy

Luka o krytycznym poziomie zagrożenia (CVSS 9.8) umożliwia nieautoryzowanym użytkownikom podniesienie swoich uprawnień do poziomu administratora, co może prowadzić do pełnej kompromitacji witryny WordPress. Operatorzy powinni traktować tę podatność priorytetowo, gdyż atakujący mogą przejąć kontrolę nad systemem i danymi.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki pt project notebooks u dostawcy oraz ich wdrożenie. W międzyczasie warto ograniczyć dostęp do funkcji administracyjnych, monitorować logi pod kątem podejrzanej aktywności oraz przeprowadzić audyt uprawnień użytkowników. Priorytetowo traktuj działania minimalizujące ryzyko eskalacji uprawnień.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference