CVE-2021-4346
CriticalSummary
Wtyczka uListing dla WordPressa jest podatna na nieautoryzowane zmiany konta w wersjach do 1.6.6 włącznie. Brak weryfikacji logowania w akcji AJAX stm_listing_profile_edit umożliwia nieautoryzowanym atakującym edytowanie dowolnego konta na blogu, w tym zmienianie adresu e-mail konta administratora.
Risk Assessment
Organizacja narażona jest na ryzyko nieautoryzowanego dostępu do kont użytkowników, co może prowadzić do utraty kontroli nad kontem administratora oraz innych kont na blogu.
Recommendation
Zaleca się aktualizację wtyczki uListing do najnowszej wersji, aby usunąć tę podatność oraz wdrożenie dodatkowych środków zabezpieczających, takich jak weryfikacja logowania dla krytycznych akcji.
Original NVD description (English source)
The uListing plugin for WordPress is vulnerable to Unauthenticated Arbitrary Account Changes in versions up to, and including, 1.6.6. This is due to missing login checks on the stm_listing_profile_edit AJAX action. This makes it possible for unauthenticated attackers to edit any account on the blog, such as changing the admin account's email address.