Уразливість у плагіні advanced-customized-prompts WordPress дозволяє неавторизованим користувачам входити як будь-який користувач

Що відомо

Плагін advanced-customized-prompts для WordPress версії до 1.0.1 не перевіряє пароль перед створенням автентифікованої сесії за вказаною електронною адресою. Це дозволяє неавторизованим зловмисникам входити в систему як будь-який зареєстрований користувач, включно з адміністраторами, або створювати довільні нові облікові записи.

Бізнес-вплив

Ця уразливість може призвести до повного компрометації сайту на WordPress, оскільки зловмисники можуть отримати права адміністратора без автентифікації. Це ставить під загрозу конфіденційність даних, цілісність контенту та безпеку всієї інфраструктури, що базується на ураженому плагіні.

Рекомендовані дії адміністратора

Рекомендується негайно перевірити наявність оновлень плагіна advanced-customized-prompts та встановити їх, якщо вони доступні. Якщо оновлення відсутні, слід обмежити доступ до плагіна, переглянути журнали доступу на предмет підозрілої активності та обмежити мережевий доступ до адміністративної панелі. Для додаткової безпеки варто перевірити версії плагінів і системи за допомогою DataHouse, а також розглянути можливість управління патчами та моніторинг мережевого трафіку.

Джерела

• NVD
• Reference