CVE-2020-36713
CriticalSummary
Wtyczka MStore API dla WordPressa jest podatna na obejście uwierzytelniania w wersjach do 2.1.5 włącznie. Problem wynika z braku ograniczeń dostępu do tras 'register' i 'update_user_profile'.
Risk Assessment
Atakujący bez uwierzytelnienia mogą tworzyć nowe konta administratorów, usuwać istniejące konta administratorów lub podnosić uprawnienia na dowolnym koncie, co stwarza poważne zagrożenie dla bezpieczeństwa systemu.
Recommendation
Zaleca się aktualizację wtyczki MStore API do najnowszej wersji, aby usunąć tę podatność oraz ograniczenie dostępu do tras 'register' i 'update_user_profile' dla nieautoryzowanych użytkowników.
Original NVD description (English source)
The MStore API plugin for WordPress is vulnerable to authentication bypass in versions up to, and including, 2.1.5. This is due to unrestricted access to the 'register' and 'update_user_profile' routes. This makes it possible for unauthenticated attackers to create new administrator accounts, delete existing administrator accounts, or escalate privileges on any account.