Hacker Newsによると、CVE-2023-3460（CVSSスコア9.8）として追跡されている脆弱性は、最新バージョン（2.6）を含むUltimate Memberプラグインのすべてのバージョンに存在します。 2.6）は2023年6月29日にリリースされました。 。
Ultimate Member は、WordPress ウェブサイトでユーザー プロファイルとコミュニティを作成するための人気のプラグインです。このユーティリティはアカウント管理機能も提供します。
WordPress セキュリティ会社の WPScan は、このセキュリティ上の欠陥は非常に深刻で、攻撃者がこれを悪用して管理者権限を持つ新しいユーザー アカウントを作成し、ハッカーが影響を受ける Web サイトを完全に制御できるようになると述べています。
Ultimate Member は、200,000 を超える Web サイトで使用されている人気のプラグインです。
脆弱性の詳細は、悪用される恐れがあるため公表されていない。 Wordfence のセキュリティ専門家は、プラグインにはユーザーが更新できない禁止キーのリストがあるものの、スラッシュを使用したり、値に文字をエンコードしたりするなど、フィルターを回避する簡単な方法があると説明しています。プラグインのバージョンで提供されています。
このセキュリティ上の欠陥は、影響を受けるウェブサイトに偽の管理者アカウントが追加されたとの報告が浮上した後に発表された。このため、プラグイン開発者はバージョン 2.6.4、2.6.5、2.6.6 で部分的な修正をリリースしました。今後数日以内に新しいアップデートがリリースされる予定です。
Ultimate Member は新しいリリースで、権限昇格の脆弱性が UM Forms を通じて利用され、部外者が管理者レベルの WordPress ユーザーを作成できるようになると述べています。しかし、WPScan は、パッチが不完全であり、それを回避する方法が複数見つかったため、バグは依然として悪用可能であると指摘しています。
この脆弱性は、apads、se_brutal、segs_brutal、wpadmins、wpengine_backup、wpenginer という名前で新しいアカウントを登録し、Web サイトの管理パネルから悪意のあるプラグインやテーマをアップロードするために使用されています。 Ultimate Member ユーザーは、このセキュリティ脆弱性に対する完全なパッチが利用可能になるまで、プラグインを無効にする必要があります。
[広告2]
ソースリンク
コメント (0)