CVE-2024-6397
KrytyczneStreszczenie
Wtyczka InstaWP Connect – 1-click WP Staging & Migration dla WordPressa jest podatna na obejście uwierzytelnienia we wszystkich wersjach do i włącznie z 0.1.0.44. Problem wynika z niewystarczającej weryfikacji klucza API, co umożliwia nieautoryzowanym atakującym logowanie się jako dowolny istniejący użytkownik na stronie.
Ocena ryzyka
Atakujący mogą uzyskać dostęp do kont administratora oraz wykonywać różne zadania administracyjne, co stwarza poważne zagrożenie dla bezpieczeństwa całej witryny.
Rekomendacja
Zaleca się aktualizację wtyczki do najnowszej wersji, aby zminimalizować ryzyko związane z tą podatnością oraz wdrożenie dodatkowych środków zabezpieczających, takich jak ochrona przed Cross-Site Request Forgery.
Oryginalny opis (angielski, źródło NVD)
The InstaWP Connect – 1-click WP Staging & Migration plugin for WordPress is vulnerable to authentication bypass in all versions up to, and including, 0.1.0.44. This is due to insufficient verification of the API key. This makes it possible for unauthenticated attackers to log in as any existing user on the site, such as an administrator, if they have access to the username, and to perform a variety of other administrative tasks. NOTE: This vulnerability was partially fixed in 0.1.0.44, but was still exploitable via Cross-Site Request Forgery.