Luka wtyczki HyperComments dla WordPress umożliwia eskalację uprawnień

Co wiadomo

Wtyczka HyperComments dla WordPress do wersji 1.2.2 ma lukę pozwalającą nieautoryzowanym atakującym na modyfikację danych i eskalację uprawnień. Brak odpowiedniej kontroli uprawnień w funkcji hc_request_handler umożliwia zmianę domyślnej roli rejestracji na administratora oraz włączenie rejestracji użytkowników, co pozwala na uzyskanie dostępu administracyjnego.

Wpływ biznesowy

Atakujący mogą wykorzystać tę lukę do przejęcia kontroli nad stroną WordPress poprzez nadanie sobie uprawnień administratora. Może to prowadzić do poważnych naruszeń bezpieczeństwa, w tym modyfikacji treści, kradzieży danych lub dalszego rozprzestrzeniania złośliwego oprogramowania. Operatorzy stron powinni traktować tę lukę jako wysokiego ryzyka i działać szybko, aby ograniczyć potencjalne szkody.

Rekomendowane działania administratora

Zaleca się jak najszybsze zaktualizowanie wtyczki HyperComments do wersji po 1.2.2, w której luka została załatana. W przypadku braku dostępnej aktualizacji należy ograniczyć dostęp do funkcji rejestracji użytkowników oraz monitorować logi pod kątem podejrzanych działań. Warto również przeprowadzić audyt uprawnień użytkowników i rozważyć tymczasowe wyłączenie wtyczki do czasu wdrożenia poprawki.

Źródła

• NVD
• Reference
• Reference