CVE-2024-12824
KrytyczneStreszczenie
Motyw Nokri – Job Board dla WordPressa jest podatny na eskalację uprawnień poprzez przejęcie konta we wszystkich wersjach do i włącznie z 1.6.2. Problem wynika z braku odpowiedniego sprawdzenia pustej wartości tokena przed aktualizacją danych użytkownika, takich jak hasło.
Ocena ryzyka
Atakujący bez uwierzytelnienia mogą zmienić hasło dowolnego użytkownika, w tym administratorów, co prowadzi do nieautoryzowanego dostępu do konta. To stwarza poważne zagrożenie dla bezpieczeństwa organizacji.
Rekomendacja
Zaleca się aktualizację motywu Nokri – Job Board do najnowszej wersji, aby usunąć tę podatność. Dodatkowo, warto przeprowadzić audyt kont użytkowników w celu wykrycia ewentualnych nieautoryzowanych zmian.
Oryginalny opis (angielski, źródło NVD)
The Nokri – Job Board WordPress Theme theme for WordPress is vulnerable to privilege escalation via account takeover in all versions up to, and including, 1.6.2. This is due to the plugin not properly checking for an empty token value prior updating their details like password. This makes it possible for unauthenticated attackers to change arbitrary user's password, including administrators, and leverage that to gain access to their account.