CVE-2024-4898
CriticalSummary
Wtyczka InstaWP Connect – 1-click WP Staging & Migration dla WordPressa jest podatna na nieautoryzowane aktualizacje opcji z powodu braku sprawdzeń autoryzacji w wywołaniach REST API we wszystkich wersjach do i włącznie z 0.1.0.38. Umożliwia to nieautoryzowanym atakującym połączenie z API InstaWP, edytowanie dowolnych opcji witryny oraz tworzenie kont administratorów.
Risk Assessment
Podatność ta stwarza poważne ryzyko dla organizacji, ponieważ nieautoryzowani użytkownicy mogą uzyskać pełny dostęp do witryny, co może prowadzić do przejęcia kontroli nad nią. Możliwość tworzenia kont administratorów zwiększa potencjalne zagrożenie dla bezpieczeństwa danych.
Recommendation
Zaleca się natychmiastowe zaktualizowanie wtyczki do najnowszej wersji, która zawiera poprawki bezpieczeństwa. Dodatkowo, warto przeprowadzić audyt uprawnień użytkowników oraz monitorować logi w celu wykrycia nieautoryzowanych działań.
Original NVD description (English source)
The InstaWP Connect – 1-click WP Staging & Migration plugin for WordPress is vulnerable to arbitrary option updates due to a missing authorization checks on the REST API calls in all versions up to, and including, 0.1.0.38. This makes it possible for unauthenticated attackers to connect the site to InstaWP API, edit arbitrary site options and create administrator accounts.