CVE-2020-36713

Krytyczne

Opublikowano: 07/06/2023(UTC)Przetłumaczono: 30/05/2026(UTC)NVD NIST

Streszczenie

Wtyczka MStore API dla WordPressa jest podatna na obejście uwierzytelniania w wersjach do 2.1.5 włącznie. Problem wynika z braku ograniczeń dostępu do tras 'register' i 'update_user_profile'.

Ocena ryzyka

Atakujący bez uwierzytelnienia mogą tworzyć nowe konta administratorów, usuwać istniejące konta administratorów lub podnosić uprawnienia na dowolnym koncie, co stwarza poważne zagrożenie dla bezpieczeństwa systemu.

Rekomendacja

Zaleca się aktualizację wtyczki MStore API do najnowszej wersji, aby usunąć tę podatność oraz ograniczenie dostępu do tras 'register' i 'update_user_profile' dla nieautoryzowanych użytkowników.

Oryginalny opis (angielski, źródło NVD)

The MStore API plugin for WordPress is vulnerable to authentication bypass in versions up to, and including, 2.1.5. This is due to unrestricted access to the 'register' and 'update_user_profile' routes. This makes it possible for unauthenticated attackers to create new administrator accounts, delete existing administrator accounts, or escalate privileges on any account.