Podatności MainWP Child

Podatność na deserializację niezaufanych danych w MainWP Child (mainwp-child) pozwala na wstrzyknięcie obiektów. Problem dotyczy wersji od n/a do 6.2.1.

Wtyczka MainWP Child dla WordPressa przed wersją 6.1.2 nie weryfikuje tożsamości żądającego w procedurze rejestracji witryny, gdy uwierzytelnianie hasłem zostało wyłączone dla docelowego konta, co pozwala nieuwierzytelnionemu atakującemu uzyskać ważną sesję uwierzytelniającą jako to konto, w tym administratora, poprzez podanie jego loginu w pojedynczym żądaniu rejestracji.

Wtyczka MainWP Child w wersjach do 6.1.1 zawiera lukę umożliwiającą nieuwierzytelnionym atakującym ominięcie kontroli dostępu. Podatność ta pozwala na nieautoryzowane operacje na stronie bez wymaganego uwierzytelnienia.