CVE-2024-13771
KrytyczneStreszczenie
Wtyczka Civi - Job Board & Freelance Marketplace dla WordPressa jest podatna na obejście uwierzytelniania we wszystkich wersjach do i włącznie z 2.1.4. Problem wynika z braku walidacji użytkownika przed zmianą hasła, co umożliwia nieautoryzowanym atakującym zmianę hasła dowolnych użytkowników, w tym administratorów, jeśli znają nazwę użytkownika ofiary.
Ocena ryzyka
Organizacja jest narażona na ryzyko, że nieautoryzowani użytkownicy mogą zmieniać hasła administratorów, co może prowadzić do przejęcia kontroli nad kontami i systemem. To stwarza poważne zagrożenie dla bezpieczeństwa danych i integralności systemu.
Rekomendacja
Zaleca się natychmiastowe zaktualizowanie wtyczki do najnowszej wersji, która naprawia tę podatność. Dodatkowo, warto wdrożyć dodatkowe mechanizmy zabezpieczeń, takie jak weryfikacja tożsamości przed zmianą hasła.
Oryginalny opis (angielski, źródło NVD)
The Civi - Job Board & Freelance Marketplace WordPress Theme plugin for WordPress is vulnerable to authentication bypass in all versions up to, and including, 2.1.4. This is due to a lack of user validation before changing a password. This makes it possible for unauthenticated attackers to change the password of arbitrary users, including administrators, if the attacker knows the username of the victim.