Krytyczna luka eskalacji uprawnień w wtyczce JetFormBuilder dla WordPress

Co wiadomo

Wtyczka JetFormBuilder — Dynamic Blocks Form Builder dla WordPress do wersji 3.6.2 włącznie posiada krytyczną lukę pozwalającą na eskalację uprawnień. Brak weryfikacji przynależności przesłanego ID formularza umożliwia nieautoryzowanym atakującym utworzenie konta administratora.

Wpływ biznesowy

Luka ta stanowi poważne zagrożenie dla bezpieczeństwa stron opartych na WordPress z zainstalowaną wtyczką JetFormBuilder. Atakujący mogą uzyskać pełne uprawnienia administratora, co może prowadzić do przejęcia kontroli nad witryną, kradzieży danych lub wprowadzenia złośliwego oprogramowania. Operatorzy powinni traktować tę lukę jako krytyczną i priorytetowo podjąć działania naprawcze.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki JetFormBuilder u jej dostawcy oraz ich wdrożenie. W międzyczasie warto ograniczyć dostęp do panelu administracyjnego i monitorować logi pod kątem podejrzanych aktywności. Redukcja ekspozycji sieciowej oraz weryfikacja kopii zapasowych również zwiększą bezpieczeństwo. Zespół DataHouse może pomóc w weryfikacji wersji, zarządzaniu aktualizacjami oraz monitoringu bezpieczeństwa.

Źródła

• NVD
• Reference
• Reference