Krytyczna luka eskalacji uprawnień w wtyczce Divi Form Builder dla WordPress

Co wiadomo

Wtyczka Divi Form Builder do WordPressa w wersjach do 5.1.2 włącznie posiada krytyczną lukę pozwalającą na eskalację uprawnień. Atakujący mogą tworzyć konta administratorów, manipulując parametrem 'role' podczas rejestracji użytkownika, ponieważ wtyczka nie weryfikuje go względem domyślnej roli użytkownika.

Wpływ biznesowy

Luka umożliwia nieautoryzowanym osobom uzyskanie pełnych uprawnień administratora na stronie WordPress, co może prowadzić do przejęcia kontroli nad witryną, modyfikacji treści, instalacji złośliwego oprogramowania lub kradzieży danych. Operatorzy stron korzystających z tej wtyczki powinni traktować tę lukę jako krytyczną i priorytetowo podjąć działania zabezpieczające.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie wersji wtyczki Divi Form Builder i aktualizację do najnowszej dostępnej wersji, jeśli została wydana poprawka. W przypadku braku aktualizacji należy ograniczyć możliwość rejestracji nowych użytkowników lub wprowadzić dodatkową weryfikację ról. Należy także przejrzeć logi rejestracji użytkowników pod kątem podejrzanych kont oraz monitorować system pod kątem nietypowej aktywności.

Źródła

• NVD
• Reference
• Reference