CVE-2017-16562
KrytyczneStreszczenie
Wtyczka UserPro przed wersją 4.9.17.1 dla WordPressa, używana na stronie z nazwą użytkownika 'admin', pozwala zdalnym atakującym na ominięcie uwierzytelnienia i uzyskanie dostępu administracyjnego poprzez ustawienie parametru up_auto_log na 'true' w QUERY_STRING do domyślnego URI.
Ocena ryzyka
Atakujący mogą uzyskać pełny dostęp do panelu administracyjnego, co może prowadzić do poważnych naruszeń bezpieczeństwa i utraty danych.
Rekomendacja
Zaleca się aktualizację wtyczki UserPro do najnowszej wersji oraz zmianę domyślnej nazwy użytkownika 'admin' na inną, aby zminimalizować ryzyko.
Oryginalny opis (angielski, źródło NVD)
The UserPro plugin before 4.9.17.1 for WordPress, when used on a site with the "admin" username, allows remote attackers to bypass authentication and obtain administrative access via a "true" value for the up_auto_log parameter in the QUERY_STRING to the default URI.