CVE-2019-25141
KrytyczneStreszczenie
Wtyczka Easy WP SMTP dla WordPressa jest podatna na obejście autoryzacji w wersjach do 1.3.9 włącznie. Problem wynika z braku odpowiednich kontroli uprawnień w funkcji admin_init() oraz niewystarczającej walidacji danych wejściowych.
Ocena ryzyka
Atakujący bez uwierzytelnienia mogą modyfikować ustawienia wtyczki oraz dowolne opcje na stronie, co może prowadzić do wprowadzenia nowych kont użytkowników z uprawnieniami administratora.
Rekomendacja
Zaleca się aktualizację wtyczki Easy WP SMTP do najnowszej wersji, aby usunąć tę podatność oraz wprowadzenie dodatkowych środków zabezpieczających, takich jak monitorowanie zmian w ustawieniach wtyczek.
Oryginalny opis (angielski, źródło NVD)
The Easy WP SMTP plugin for WordPress is vulnerable to authorization bypass in versions up to, and including, 1.3.9. This is due to missing capability checks on the admin_init() function, in addition to insufficient input validation. This makes it possible for unauthenticated attackers to modify the plugins settings and arbitrary options on the site that can be used to inject new administrative user accounts.