CVE-2023-4600
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 24 - wyżej niż 24% wszystkich znanych CVE
Streszczenie
AffiliateWP dla WordPressa jest podatny na nieautoryzowaną modyfikację danych z powodu braku sprawdzenia uprawnień w funkcji 'affwp_activate_addons_page_plugin' wywoływanej przez akcję AJAX w wersjach do 2.14.0 włącznie. Umożliwia to uwierzytelnionym atakującym, posiadającym dostęp na poziomie subskrybenta lub wyższym, aktywację dowolnych wtyczek.
Ocena ryzyka
Organizacja może być narażona na aktywację złośliwych wtyczek przez uwierzytelnionych użytkowników, co może prowadzić do poważnych naruszeń bezpieczeństwa i utraty danych.
Rekomendacja
Zaleca się aktualizację AffiliateWP do najnowszej wersji, aby usunąć tę podatność oraz przegląd uprawnień użytkowników, aby ograniczyć dostęp do funkcji aktywacji wtyczek.
Oryginalny opis (angielski, źródło NVD)
The AffiliateWP for WordPress is vulnerable to unauthorized modification of data due to a missing capability check on the 'affwp_activate_addons_page_plugin' function called via an AJAX action in versions up to, and including, 2.14.0. This makes it possible for authenticated attackers, with subscriber-level access and above, to activate arbitrary plugins.