CVE-2023-4404
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 51 - wyżej niż 51% wszystkich znanych CVE
Streszczenie
Wtyczka Donation Forms by Charitable dla WordPressa jest podatna na eskalację uprawnień w wersjach do 1.7.0.12 włącznie, z powodu niewystarczających ograniczeń w funkcji 'update_core_user'. Umożliwia to nieautoryzowanym atakującym określenie swojej roli użytkownika poprzez podanie parametru 'role' podczas rejestracji.
Ocena ryzyka
Organizacje mogą być narażone na nieautoryzowany dostęp do kont użytkowników z wyższymi uprawnieniami, co może prowadzić do poważnych naruszeń bezpieczeństwa.
Rekomendacja
Zaleca się aktualizację wtyczki do najnowszej wersji, aby usunąć tę podatność oraz wprowadzenie dodatkowych środków zabezpieczających w celu ograniczenia dostępu do funkcji rejestracji.
Oryginalny opis (angielski, źródło NVD)
The Donation Forms by Charitable plugin for WordPress is vulnerable to privilege escalation in versions up to, and including, 1.7.0.12 due to insufficient restriction on the 'update_core_user' function. This makes it possible for unauthenticated attackers to specify their user role by supplying the 'role' parameter during a registration.