Уразливість у плагіні WP Component WordPress дозволяє неавторизованим користувачам змінювати налаштування сайту

Що відомо

Плагін WP Component WordPress версії до 2.2.4 не перевіряє права доступу та nonce для однієї з дій, доступних неавторизованим користувачам. Це дозволяє зловмисникам змінювати будь-які опції сайту, що на односайтових установках може призвести до повного контролю над сайтом.

Бізнес-вплив

Для власників сайтів на WordPress це означає високий ризик компрометації через можливість неавторизованого зміщення налаштувань, включно з активацією реєстрації з правами адміністратора. Така уразливість може призвести до втрати контролю над сайтом, витоку даних та порушення роботи сервісу.

Рекомендовані дії адміністратора

Рекомендується негайно перевірити наявність оновлень плагіна WP Component WordPress та встановити їх, якщо вони доступні. Якщо оновлення відсутні, слід обмежити доступ до відповідних дій плагіна, зменшити мережеву експозицію сайту та переглянути журнали безпеки на предмет підозрілої активності. Також варто перевірити налаштування реєстрації користувачів і права за замовчуванням. DataHouse підтримує перевірку версій плагінів і допомагає у зменшенні мережевої експозиції та аналізі логів.

Джерела

• NVD
• Reference