Krytyczna luka eskalacji uprawnień w wtyczce Divi Membership dla WordPress

Co wiadomo

Wtyczka Divi Membership dla WordPress do wersji 2.2.0 umożliwia nieautoryzowanym użytkownikom rejestrację konta z uprawnieniami administratora poprzez manipulację parametrem form_id. Luka pozwala na pełne przejęcie kontroli nad stroną bez uwierzytelnienia, wykorzystując publicznie dostępny nonce.

Wpływ biznesowy

Ta krytyczna luka pozwala atakującym na uzyskanie pełnych uprawnień administratora na stronie WordPress, co może skutkować całkowitym przejęciem witryny, utratą danych oraz naruszeniem integralności i dostępności usług. Operatorzy stron korzystających z tej wtyczki powinni traktować zagrożenie priorytetowo ze względu na wysoki wskaźnik CVSS 9.8 i możliwość natychmiastowego ataku bez uwierzytelnienia.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Divi Membership u jej dostawcy i wdrożenie poprawek. W międzyczasie ogranicz dostęp do formularzy rejestracji, monitoruj logi pod kątem podejrzanych prób rejestracji oraz rozważ tymczasowe wyłączenie wtyczki. Weryfikuj wersje komponentów w DataHouse, korzystaj z zarządzanego patchowania i analizuj logi bezpieczeństwa, aby szybko wykrywać i reagować na potencjalne incydenty.

Źródła

• NVD
• Reference
• Reference
• Reference