CVE-2021-4380
KrytyczneStreszczenie
Wtyczka Pinterest Automatic dla WordPressa jest podatna na obejście autoryzacji z powodu braku sprawdzeń uprawnień w funkcji 'wp_pinterest_automatic_parse_request' oraz w skrypcie 'process_form.php' w wersjach do 1.14.3 włącznie. Umożliwia to nieautoryzowanym atakującym aktualizację dowolnych opcji na stronie, co może prowadzić do tworzenia nowych kont administratorów lub przekierowywania nieświadomych odwiedzających.
Ocena ryzyka
Organizacja może być narażona na nieautoryzowany dostęp do kont administratorów oraz manipulację danymi na stronie, co może prowadzić do poważnych naruszeń bezpieczeństwa. Atakujący mogą wykorzystać tę podatność do przejęcia kontroli nad witryną.
Rekomendacja
Zaleca się aktualizację wtyczki Pinterest Automatic do najnowszej wersji, aby usunąć tę podatność. Dodatkowo warto przeprowadzić audyt uprawnień użytkowników oraz monitorować wszelkie nieautoryzowane zmiany na stronie.
Oryginalny opis (angielski, źródło NVD)
The Pinterest Automatic plugin for WordPress is vulnerable to authorization bypass due to missing capability checks on the 'wp_pinterest_automatic_parse_request' function and the 'process_form.php' script in versions up to, and including, 1.14.3. This makes it possible for unauthenticated attackers to update arbitrary options on a site that can be used to create new administrative user accounts or redirect unsuspecting site visitors.