CVE-2021-4370
KrytyczneStreszczenie
Wtyczka uListing dla WordPressa jest podatna na obejście autoryzacji, ponieważ większość akcji i punktów końcowych jest dostępna dla nieautoryzowanych użytkowników, brakuje zabezpieczeń nonce, a dane rzadko są walidowane. Problem ten występuje w wersjach do 1.6.6 włącznie.
Ocena ryzyka
Nieautoryzowani atakujący mogą przeprowadzać różne działania administracyjne, co stwarza poważne zagrożenie dla bezpieczeństwa systemu i danych użytkowników.
Rekomendacja
Zaleca się aktualizację wtyczki uListing do najnowszej wersji oraz wdrożenie dodatkowych mechanizmów zabezpieczeń, takich jak walidacja danych i użycie nonce.
Oryginalny opis (angielski, źródło NVD)
The uListing plugin for WordPress is vulnerable to authorization bypass as most actions and endpoints are accessible to unauthenticated users, lack security nonces, and data is seldom validated. This issue exists in versions up to, and including, 1.6.6. This makes it possible for unauthenticated attackers to conduct numerous administrative actions, including those less critical than the explicitly outlined ones in our detection.