PT-2024-17151 · WordPress · Accessibility By Allaccessible
1337_Wannabe
+1
·
Publicado
2024-12-04
·
Atualizado
2024-12-09
·
CVE-2024-11643
CVSS v3.1
8.8
Alta
| Vetor | AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H |
Nome do software vulnerável e versões afetadas
Plugin Accessibility by AllAccessible para o WordPress, versões até e incluindo a 1.3.4
Descrição
O plugin Accessibility by AllAccessible para o WordPress está vulnerável à modificação não autorizada de dados, o que pode levar à escalada de privilégios devido à falta de uma verificação de permissão na função
AllAccessible save settings. Isso permite que invasores autenticados, com acesso de nível de Assinante ou superior, atualizem opções arbitrárias no site do WordPress. Isso pode ser aproveitado para atualizar a função padrão de registro para administrador e habilitar o registro de usuários, permitindo que invasores obtenham acesso de usuário administrativo a um site vulnerável.Recomendações
Para versões até a 1.3.4, inclusive, atualize para uma versão que inclua uma correção para este problema.
Como solução temporária, considere desativar a função
AllAccessible save settings até que um patch esteja disponível.Restrinja o acesso ao site WordPress para minimizar o risco de exploração.
Evite usar o plugin Accessibility by AllAccessible até que o problema seja resolvido.
Correção
Missing Authorization
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Accessibility By Allaccessible