Luka wtyczki advanced-customized-prompts WordPress umożliwia nieautoryzowane logowanie

Co wiadomo

Wtyczka advanced-customized-prompts do WordPressa w wersji do 1.0.1 nie weryfikuje hasła przed przyznaniem sesji uwierzytelnionej dla podanego adresu e-mail. Pozwala to atakującym bez uwierzytelnienia zalogować się jako dowolny zarejestrowany użytkownik, w tym administrator, lub utworzyć nowe konta.

Wpływ biznesowy

Ta luka stwarza poważne ryzyko przejęcia kontroli nad stroną WordPress, co może prowadzić do nieautoryzowanego dostępu do danych, modyfikacji treści lub eskalacji uprawnień. Właściciele infrastruktury powinni traktować tę podatność jako krytyczną, zwłaszcza jeśli wtyczka jest aktywnie używana w środowisku produkcyjnym.

Rekomendowane działania administratora

Zaleca się natychmiastową aktualizację wtyczki advanced-customized-prompts do najnowszej wersji udostępnionej przez producenta. W przypadku braku dostępnej poprawki należy ograniczyć dostęp do panelu administracyjnego WordPressa, monitorować logi pod kątem podejrzanych logowań oraz rozważyć tymczasowe wyłączenie wtyczki. Warto również zweryfikować konfigurację zabezpieczeń i kopie zapasowe. DataHouse może pomóc w ocenie wersji, zarządzaniu aktualizacjami oraz monitoringu bezpieczeństwa.

Źródła

• NVD
• Reference