CVE-2023-4243

WysokieCVSS 8.8

Opublikowano: 09/08/2023(UTC)Zaktualizowano: 17/06/2026(UTC)Przetłumaczono: 18/06/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Podwyższone ryzyko

0.77%

Percentyl 51 - wyżej niż 51% wszystkich znanych CVE

Streszczenie

Wtyczka FULL - Customer dla WordPressa jest podatna na nieautoryzowane przesyłanie plików przez REST route /install-plugin w wersjach do 2.2.3 włącznie, z powodu niewłaściwej autoryzacji. Umożliwia to uwierzytelnionym atakującym z uprawnieniami na poziomie subskrybenta i wyżej wykonywanie kodu poprzez instalację wtyczek z dowolnych zdalnych lokalizacji.

Ocena ryzyka

Atakujący mogą zainstalować złośliwe wtyczki, co prowadzi do potencjalnego przejęcia kontroli nad stroną internetową oraz wycieku danych. To stwarza poważne zagrożenie dla bezpieczeństwa organizacji.

Rekomendacja

Zaleca się aktualizację wtyczki FULL - Customer do najnowszej wersji, aby usunąć tę podatność. Dodatkowo, warto przeprowadzić audyt uprawnień użytkowników, aby ograniczyć dostęp do instalacji wtyczek.

Inne podatności w FULL - Customer plugin for WordPress

CVE-2023-4242Średnie
Wtyczka FULL - Customer dla WordPressa jest podatna na ujawnienie informacji poprzez trasę REST /health w wersjach do 2.2.3 włącznie, z powodu niewłaściwej autoryzacji. Umożliwia to uwierzytelnionym atakującym z uprawnieniami na poziomie subskrybenta i wyżej uzyskanie wrażliwych informacji o konfiguracji witryny.

Oryginalny opis (angielski, źródło NVD)

The FULL - Customer plugin for WordPress is vulnerable to Arbitrary File Upload via the /install-plugin REST route in versions up to, and including, 2.2.3 due to improper authorization. This allows authenticated attackers with subscriber-level permissions and above to execute code by installing plugins from arbitrary remote locations including non-repository sources onto the site, granted they are packaged as a valid WordPress plugin.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS