CVE-2024-35700

Incorrect Privilege Assignment w wtyczce WordPress UserPro — przejęcie konta bez uwierzytelnienia

CVSS 9.8v3.1pub. 2024-06-04upd. 2026-04-23

Wtyczka UserPro dla WordPress w wersjach do 5.1.8 włącznie zawiera krytyczną podatność nieprawidłowego przypisania uprawnień, która umożliwia nieuwierzytelnionemu atakującemu przejęcie dowolnego konta użytkownika. Ze względu na brak wymogu uwierzytelnienia oraz pełny wpływ na poufność, integralność i dostępność, podatność jest oceniana jako krytyczna (CVSS 9.8).

▸ Pokaż oryginał (EN)

Incorrect Privilege Assignment vulnerability in DeluxeThemes Userpro userpro.This issue affects Userpro: from n/a through <= 5.1.8.

🤖 Analiza AI

Jak działa

Podatność wynika z nieprawidłowego przypisania uprawnień (CWE-266) w logice wtyczki UserPro. Atakujący nieposiadający żadnych poświadczeń może wykorzystać błąd w mechanizmie zarządzania uprawnieniami, by uzyskać nieautoryzowany dostęp do kont innych użytkowników, w tym potencjalnie do kont administracyjnych. Podatność jest dostępna zdalnie przez sieć bez konieczności interakcji po stronie ofiary.

Skutki

Atakujący może przejąć kontrolę nad dowolnym kontem użytkownika w serwisie WordPress, co w praktyce oznacza pełny dostęp do zasobów serwisu, możliwość modyfikacji treści oraz dalszą eskalację uprawnień aż do poziomu administratora.

Mitygacja

Należy niezwłocznie zaktualizować wtyczkę UserPro do wersji wyższej niż 5.1.8. Szczegóły dotyczące dostępnych patchy należy zweryfikować zgodnie z informacjami opublikowanymi przez producenta oraz bazą Patchstack.

Kogo dotyczy

Wtyczka WordPress UserPro (DeluxeThemes) w wersjach od n/a do 5.1.8 włącznie.

Uwagi

Podatność opisana i zgłoszona za pośrednictwem platformy Patchstack. Tytuł podatności w bazie Patchstack wskazuje wprost na możliwość przejęcia konta bez uwierzytelnienia (unauthenticated account takeover).