Уразливість підвищення привілеїв у плагіні Miniorange OTP Verification для WordPress

Що відомо

Плагін Miniorange OTP Verification with Firebase для WordPress має критичну уразливість підвищення привілеїв у версіях до 3.6.0 включно через небезпечне значення за замовчуванням 'administrator' для опції 'default_user_role'. Це дозволяє неавторизованим зловмисникам створювати облікові записи адміністраторів навіть при вимкненій формі реєстрації.

Бізнес-вплив

Ця уразливість створює серйозну загрозу безпеці вебсайтів на WordPress, що використовують цей плагін, оскільки зловмисники можуть отримати повний контроль над сайтом. Для ІТ-операторів та власників інфраструктури це означає необхідність негайного реагування, оскільки компрометація адміністративного облікового запису може призвести до втрати даних, порушення роботи сервісів та репутаційних збитків.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна від виробника та негайно застосувати їх. Якщо оновлення недоступні, слід обмежити доступ до реєстрації користувачів, переглянути журнали безпеки на предмет підозрілої активності та розглянути можливість тимчасового відключення плагіна. Важливо також провести аудит ролей користувачів і видалити невідомі або підозрілі облікові записи.

Джерела

• NVD
• Reference
• Reference
• Reference