Уразливість у плагіні Admin and Site Enhancements для WordPress дозволяє відновити права адміністратора без автентифікації

Що відомо

Плагіни Admin and Site Enhancements (ASE) та admin-site-enhancements-pro для WordPress версій до 8.8.4 не перевіряють автентифікацію, авторизацію та nonce при обробці запитів на відновлення ролі. Це дозволяє неавторизованим зловмисникам відновити раніше понижений обліковий запис адміністратора до повних прав адміністратора.

Бізнес-вплив

Ця уразливість з високою оцінкою CVSS 8.1 може призвести до несанкціонованого підвищення привілеїв у системах на базі WordPress, що використовують уразливі версії плагінів. Зловмисники можуть отримати повний контроль над сайтом, що ставить під загрозу цілісність, конфіденційність і доступність вебресурсів та даних.

Рекомендовані дії адміністратора

Адміністраторам слід негайно перевірити версії плагінів Admin and Site Enhancements і admin-site-enhancements-pro та оновити їх до версії 8.8.4 або новішої. Якщо оновлення недоступне, рекомендується обмежити доступ до функцій відновлення ролей, переглянути журнали безпеки на предмет підозрілої активності та застосувати додаткові заходи контролю доступу. Важливо також стежити за оновленнями від розробників плагінів.

Джерела

• NVD
• Reference