Уразливість у плагіні MemberHero для WordPress дозволяє отримати права адміністратора

Що відомо

Плагін MemberHero для WordPress версії до 6.9 не обмежує поля облікового запису під час реєстрації, що дозволяє неавторизованим зловмисникам створювати користувачів з довільними ролями, включно з адміністратором. Попередня версія 6.9 не повністю усуває проблему, і уразливість залишається відкритою.

Бізнес-вплив

Ця уразливість може призвести до повного контролю над сайтом через отримання прав адміністратора, що ставить під загрозу цілісність, конфіденційність і доступність вебресурсу. Власники інфраструктури повинні розглядати цю загрозу як критичну, оскільки зловмисники можуть змінювати контент, викрадати дані або порушувати роботу сайту.

Рекомендовані дії адміністратора

Рекомендується деактивувати та видалити плагін MemberHero версії до 6.9 до виходу повністю безпечної версії. Якщо плагін необхідно залишити активним, слід вимкнути публічну реєстрацію, обмежити доступ до функції реєстрації та уважно моніторити наявність несподіваних облікових записів адміністратора. Перевірте версії плагінів у DataHouse, використовуйте кероване оновлення та зменшуйте мережеву експозицію для підвищення безпеки.

Джерела

• NVD
• Reference