CVE-2024-9263
KrytyczneStreszczenie
Wtyczka WP Timetics - AI-powered Appointment Booking Calendar and Online Scheduling Plugin dla WordPressa jest podatna na przejęcie konta oraz eskalację uprawnień z powodu niebezpiecznego bezpośredniego odniesienia do obiektów we wszystkich wersjach do 1.0.25 włącznie. Problem wynika z braku walidacji klucza kontrolowanego przez użytkownika w funkcji save().
Ocena ryzyka
Atakujący, nieposiadający autoryzacji, mogą zresetować adresy e-mail i hasła dowolnych kont użytkowników, w tym administratorów, co prowadzi do przejęcia konta i eskalacji uprawnień.
Rekomendacja
Zaleca się aktualizację wtyczki do najnowszej wersji, aby usunąć tę podatność oraz wprowadzenie dodatkowych mechanizmów zabezpieczających, takich jak walidacja danych wejściowych.
Oryginalny opis (angielski, źródło NVD)
The WP Timetics- AI-powered Appointment Booking Calendar and Online Scheduling Plugin plugin for WordPress is vulnerable to Account Takeover/Privilege Escalation via Insecure Direct Object Reference in all versions up to, and including, 1.0.25 via the save() due to missing validation on a user controlled key. This makes it possible for unauthenticated attackers to reset the emails and passwords of arbitrary user accounts, including administrators, which makes account takeover and privilege escalation possible.