Luka w motywie FastX dla WordPress umożliwia nieautoryzowaną instalację i aktywację wtyczek

Co wiadomo

Motyw FastX dla WordPress do wersji 1.0.2 włącznie posiada lukę pozwalającą użytkownikom z uprawnieniami subskrybenta i wyższymi na nieautoryzowaną instalację oraz aktywację wtyczki PostX. Problem wynika z braku odpowiednich kontroli uprawnień w funkcjach 'ultp_install_callback' i 'ultp_activate_callback'.

Wpływ biznesowy

Atakujący z dostępem na poziomie subskrybenta mogą wykorzystać tę lukę do instalacji i aktywacji wtyczek, co może prowadzić do eskalacji uprawnień lub wprowadzenia złośliwego oprogramowania. Może to zagrozić integralności i bezpieczeństwu witryny, a także wpłynąć na stabilność i reputację firmy.

Rekomendowane działania administratora

Administratorzy powinni niezwłocznie sprawdzić wersję motywu FastX i rozważyć aktualizację do nowszej wersji, jeśli jest dostępna. W przypadku braku aktualizacji zaleca się ograniczenie dostępu użytkowników do poziomu subskrybenta lub wyższego oraz monitorowanie logów pod kątem podejrzanych działań związanych z instalacją i aktywacją wtyczek. Warto również przeprowadzić audyt uprawnień i rozważyć zastosowanie dodatkowych mechanizmów kontroli dostępu.

Źródła

• NVD
• Reference
• Reference
• Reference