Krytyczna luka wtyczki Service Finder SMS System dla WordPress umożliwiająca eskalację uprawnień

Co wiadomo

Wtyczka Service Finder SMS System dla WordPress do wersji 2.0.0 włącznie posiada krytyczną lukę pozwalającą na eskalację uprawnień poprzez przejęcie konta. Brak ograniczeń przy wyborze roli użytkownika podczas rejestracji umożliwia nieautoryzowanym atakującym rejestrację jako administrator.

Wpływ biznesowy

Luka ta stanowi poważne zagrożenie dla właścicieli stron opartych na WordPress, ponieważ atakujący mogą uzyskać pełne uprawnienia administratora bez uwierzytelnienia. Może to prowadzić do przejęcia kontroli nad witryną, modyfikacji treści, instalacji złośliwego oprogramowania oraz utraty danych. Operatorzy powinni traktować tę lukę jako krytyczną i priorytetowo podejść do jej zaadresowania.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki u jej dostawcy oraz ich wdrożenie. W przypadku braku łatki należy ograniczyć możliwość rejestracji nowych użytkowników lub monitorować logi pod kątem nietypowych rejestracji z uprawnieniami administratora. Warto również przeprowadzić audyt istniejących kont i usunąć podejrzane użytkowniki.

Źródła

• NVD
• Reference
• Reference