CVE-2021-4357
KrytyczneStreszczenie
Wtyczka uListing dla WordPressa jest podatna na obejście autoryzacji z powodu braku sprawdzeń uprawnień oraz brakującego tokena bezpieczeństwa w funkcji UlistingUserRole::save_role_api w wersjach do 1.6.6 włącznie. Umożliwia to nieautoryzowanym atakującym dowolne usuwanie postów i stron na stronie.
Ocena ryzyka
Organizacja narażona jest na ryzyko utraty danych oraz usunięcia ważnych treści na stronie, co może prowadzić do poważnych konsekwencji wizerunkowych i operacyjnych.
Rekomendacja
Zaleca się aktualizację wtyczki uListing do najnowszej wersji, aby usunąć tę podatność oraz wdrożenie dodatkowych środków zabezpieczających, takich jak monitorowanie aktywności użytkowników.
Oryginalny opis (angielski, źródło NVD)
The uListing plugin for WordPress is vulnerable to authorization bypass due to missing capability checks, and a missing security nonce, on the UlistingUserRole::save_role_api function in versions up to, and including, 1.6.6. This makes it possible for unauthenticated attackers to arbitrarily delete site posts and pages.