CVE-2023-4374
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 41 - wyżej niż 41% wszystkich znanych CVE
Streszczenie
Wtyczka WP Remote Users Sync dla WordPressa jest podatna na nieautoryzowany dostęp do danych oraz ich dodawanie z powodu braku weryfikacji uprawnień w funkcjach 'refresh_logs_async' w wersjach do 1.2.11 włącznie. Umożliwia to uwierzytelnionym atakującym z uprawnieniami subskrybenta lub wyższymi przeglądanie logów.
Ocena ryzyka
Organizacja może być narażona na ujawnienie wrażliwych danych logów, co może prowadzić do dalszych ataków lub naruszeń prywatności użytkowników.
Rekomendacja
Zaleca się aktualizację wtyczki do najnowszej wersji, aby usunąć tę podatność oraz przeprowadzenie audytu uprawnień użytkowników.
Oryginalny opis (angielski, źródło NVD)
The WP Remote Users Sync plugin for WordPress is vulnerable to unauthorized access of data and addition of data due to a missing capability check on the 'refresh_logs_async' functions in versions up to, and including, 1.2.11. This makes it possible for authenticated attackers with subscriber privileges or above, to view logs.