Krytyczna luka eskalacji uprawnień w wtyczce ACPT (Premium) dla WordPress

Co wiadomo

Wtyczka ACPT (Premium) dla WordPress w wersjach do 2.0.66 włącznie posiada krytyczną lukę eskalacji uprawnień. Brak odpowiedniej autoryzacji w funkcji submit() umożliwia nieautoryzowanym atakującym zmianę adresu e-mail i hasła dowolnego użytkownika, w tym administratora, poprzez publiczny formularz użytkownika ACPT.

Wpływ biznesowy

Luka ta pozwala na przejęcie konta administratora WordPress, co może skutkować pełnym przejęciem witryny, utratą danych oraz potencjalnym wykorzystaniem zasobów serwera do złośliwych działań. Operatorzy IT powinni traktować tę podatność jako krytyczną i priorytetowo zabezpieczyć swoje systemy, aby zapobiec nieautoryzowanemu dostępowi i eskalacji uprawnień.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie wersji wtyczki ACPT (Premium) i aktualizację do najnowszej dostępnej wersji, jeśli jest dostępna. W przypadku braku aktualizacji należy ograniczyć dostęp do publicznych formularzy ACPT, monitorować logi pod kątem podejrzanych działań oraz rozważyć tymczasowe wyłączenie wtyczki. Warto również zweryfikować polityki dostępu i hasła użytkowników. DataHouse może pomóc w weryfikacji wersji, zarządzaniu aktualizacjami oraz ograniczeniu ekspozycji sieciowej.

Źródła

• NVD
• Reference
• Reference