Krytyczna luka eskalacji uprawnień w wtyczce Users manager – PN dla WordPress

Co wiadomo

Wtyczka Users manager – PN dla WordPress do wersji 1.1.15 zawiera krytyczną lukę umożliwiającą nieautoryzowaną aktualizację metadanych użytkowników poprzez wadliwą logikę autoryzacji w funkcji userspn_ajax_nopriv_server(). Atakujący mogą modyfikować dowolne dane użytkowników, w tym poufne tokeny.

Wpływ biznesowy

Luka pozwala na eskalację uprawnień bez uwierzytelnienia, co może prowadzić do przejęcia kont użytkowników lub manipulacji danymi w systemie WordPress. Właściciele stron korzystających z tej wtyczki powinni traktować tę podatność jako krytyczną, gdyż umożliwia ona atakującym pełną kontrolę nad metadanymi użytkowników, co może skutkować poważnymi naruszeniami bezpieczeństwa i utratą zaufania klientów.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki u dostawcy oraz jej instalację. W przypadku braku łatki należy ograniczyć dostęp do funkcji AJAX wtyczki, przejrzeć logi pod kątem podejrzanych aktywności oraz rozważyć tymczasowe wyłączenie wtyczki. Niezbędne jest także monitorowanie kont użytkowników i wzmocnienie kontroli dostępu w systemie WordPress.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference