CVE-2023-3124
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Bardzo wysokie ryzykoPercentyl 97 - wyżej niż 97% wszystkich znanych CVE
Streszczenie
Wtyczka Elementor Pro dla WordPressa jest podatna na nieautoryzowaną modyfikację danych z powodu braku sprawdzenia uprawnień w funkcji update_page_option w wersjach do 3.11.6 włącznie. Umożliwia to uwierzytelnionym atakującym z uprawnieniami na poziomie subskrybenta aktualizację dowolnych opcji witryny, co może prowadzić do eskalacji uprawnień.
Ocena ryzyka
Organizacja narażona jest na ryzyko eskalacji uprawnień przez atakujących, co może prowadzić do nieautoryzowanych zmian w konfiguracji witryny i potencjalnych naruszeń bezpieczeństwa.
Rekomendacja
Zaleca się aktualizację wtyczki Elementor Pro do najnowszej wersji, aby usunąć tę podatność oraz przeprowadzenie audytu uprawnień użytkowników w systemie.
Oryginalny opis (angielski, źródło NVD)
The Elementor Pro plugin for WordPress is vulnerable to unauthorized data modification due to a missing capability check on the update_page_option function in versions up to, and including, 3.11.6. This makes it possible for authenticated attackers with subscriber-level capabilities to update arbitrary site options, which can lead to privilege escalation.