Luka braku autoryzacji w wtyczce User Registration & Membership dla WordPress

Co wiadomo

Wtyczka User Registration & Membership dla WordPress do wersji 5.1.5 włącznie posiada lukę polegającą na braku odpowiedniej autoryzacji. Metoda is_admin_creation_process() opiera się wyłącznie na obecności parametru action=createuser w żądaniu, bez sprawdzania uprawnień, co pozwala nieautoryzowanym użytkownikom na pominięcie zatwierdzenia administratora przy rejestracji nowych kont.

Wpływ biznesowy

Luka umożliwia atakującym bez uwierzytelnienia tworzenie kont użytkowników z pominięciem wymaganego zatwierdzenia administratora, co może prowadzić do nieautoryzowanego dostępu i potencjalnego naruszenia bezpieczeństwa witryny. Operatorzy stron korzystających z tej wtyczki powinni traktować tę lukę jako średniego ryzyka i podjąć działania w celu ograniczenia ekspozycji.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki User Registration & Membership i jej instalację. W przypadku braku natychmiastowej aktualizacji, warto ograniczyć dostęp do funkcji rejestracji, monitorować logi pod kątem podejrzanych prób tworzenia kont oraz rozważyć tymczasowe wyłączenie wtyczki. Priorytetem jest weryfikacja i wdrożenie poprawek od dostawcy.

Źródła

• NVD
• Reference
• Reference