CVE-2019-25141
CriticalSummary
Wtyczka Easy WP SMTP dla WordPressa jest podatna na obejście autoryzacji w wersjach do 1.3.9 włącznie. Problem wynika z braku odpowiednich kontroli uprawnień w funkcji admin_init() oraz niewystarczającej walidacji danych wejściowych.
Risk Assessment
Atakujący bez uwierzytelnienia mogą modyfikować ustawienia wtyczki oraz dowolne opcje na stronie, co może prowadzić do wprowadzenia nowych kont użytkowników z uprawnieniami administratora.
Recommendation
Zaleca się aktualizację wtyczki Easy WP SMTP do najnowszej wersji, aby usunąć tę podatność oraz wprowadzenie dodatkowych środków zabezpieczających, takich jak monitorowanie zmian w ustawieniach wtyczek.
Original NVD description (English source)
The Easy WP SMTP plugin for WordPress is vulnerable to authorization bypass in versions up to, and including, 1.3.9. This is due to missing capability checks on the admin_init() function, in addition to insufficient input validation. This makes it possible for unauthenticated attackers to modify the plugins settings and arbitrary options on the site that can be used to inject new administrative user accounts.