Serveis / Alertes

Falta l’autorització per a l’actualització d’opcions arbitràries autenticades (subscriptor+) a Email Notifications for Updates <= 1.1.6

ALERTES

08/04/2025

CVE-2025-2933

ALT (8,8)

CVSS3: 0,0

El connector d’Email Notifications for Updates per a WordPress és vulnerable a la modificació no autoritzada de dades que pot provocar una escalada de privilegis a causa d’una comprovació de capacitat que falta a la funció awun_import_settings() en totes les versions fins a la 1.1.6 inclosa. Això fa possible que els atacants autenticats, amb accés a nivell de subscriptor i superior, actualitzin opcions arbitràries al lloc de WordPress. Això es pot aprofitar per actualitzar el rol predeterminat per al registre d’administrador i permetre el registre d’usuaris perquè els atacants tinguin accés administratiu d’usuari a un lloc vulnerable.

Sistemes Afectats

  • aweos Email Notifications for Updates

Remediació
No hi ha cap recurs disponible a partir del 5 d’abril del 2025.

Referències