CVE-2021-4343
CriticalSummary
Wtyczka Unauthenticated Account Creation dla WordPressa jest podatna na nieautoryzowane tworzenie kont w wersjach do 1.6.6 włącznie. Problem wynika z dostępności funkcji akcji AJAX stm_listing_register, która nie chroni ról użytkowników.
Risk Assessment
Atakujący bez uwierzytelnienia mogą tworzyć konta, w tym konta z uprawnieniami administratora, co stwarza poważne zagrożenie dla bezpieczeństwa systemu.
Recommendation
Zaleca się aktualizację wtyczki do najnowszej wersji, aby usunąć tę podatność oraz wprowadzenie dodatkowych środków zabezpieczających, takich jak ograniczenie dostępu do funkcji AJAX.
Original NVD description (English source)
The Unauthenticated Account Creation plugin for WordPress is vulnerable to Unauthenticated Account Creation in versions up to, and including, 1.6.6. This is due to the stm_listing_register AJAX action function being accessible and taking roles unprotected. This makes it possible for unauthenticated attackers to create accounts, even those with administrator privileges.