CVE-2019-25738
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 27 - wyżej niż 27% wszystkich znanych CVE
Streszczenie
Wtyczka WordPress Hybrid Composer w wersji 1.4.6 zawiera lukę umożliwiającą nieuwierzytelnionym atakującym zmianę ustawień WordPressa. Atakujący może wysłać żądanie POST do admin-ajax.php z parametrem action ustawionym na hc_ajax_save_option, aby włączyć rejestrację użytkowników i ustawić domyślną rolę na administratora.
Ocena ryzyka
Ryzyko przejęcia konta administratora i pełnej kontroli nad witryną WordPress przez nieuwierzytelnionego atakującego.
Rekomendacja
Zaktualizuj wtyczkę Hybrid Composer do najnowszej wersji lub usuń ją, jeśli nie jest niezbędna.
Oryginalny opis (angielski, źródło NVD)
WordPress Hybrid Composer 1.4.6 contains an unauthenticated settings change vulnerability that allows unauthenticated attackers to modify WordPress options by exploiting the hc_ajax_save_option action. Attackers can send POST requests to the admin-ajax.php endpoint with the action parameter set to hc_ajax_save_option to enable user registration and set the default role to administrator, enabling account takeover.