CVE-2023-3076
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 75 - wyżej niż 75% wszystkich znanych CVE
Streszczenie
Wtyczka MStore API dla WordPressa przed wersją 3.9.9 pozwala odwiedzającym na tworzenie kont użytkowników z dowolną rolą poprzez interfejs API REST. Możliwość ta jest dostępna tylko dla właścicieli stron, którzy opłacili dostęp do funkcji pro wtyczki.
Ocena ryzyka
Organizacja może być narażona na nieautoryzowane przyznawanie uprawnień użytkownikom, co może prowadzić do poważnych naruszeń bezpieczeństwa.
Rekomendacja
Zaleca się aktualizację wtyczki MStore API do wersji 3.9.9 lub nowszej, aby zablokować możliwość tworzenia kont użytkowników przez odwiedzających.
Oryginalny opis (angielski, źródło NVD)
The MStore API WordPress plugin before 3.9.9 does not prevent visitors from creating user accounts with the role of their choice via their wholesale REST API endpoint. This is only exploitable if the site owner paid to access the plugin's pro features.