CVE-2024-56043

WPLMS Plugin – nieuwierzytelniona eskalacja uprawnień (privilege escalation)

CVSS 9.8v3.1pub. 2024-12-31upd. 2026-04-23

Wtyczka WPLMS do WordPress zawiera krytyczną podatność polegającą na nieprawidłowym przypisaniu uprawnień, umożliwiającą nieuwierzytelnionemu atakującemu eskalację uprawnień w systemie. Podatność otrzymała ocenę CVSS 9.8, co czyni ją wyjątkowo niebezpieczną dla wszystkich witryn korzystających z tej wtyczki.

▸ Pokaż oryginał (EN)

Incorrect Privilege Assignment vulnerability in VibeThemes WPLMS wplms_plugin allows Privilege Escalation.This issue affects WPLMS: from n/a through <= 1.9.9.

🤖 Analiza AI

Jak działa

Podatność wynika z błędu w mechanizmie przypisywania uprawnień (CWE-266) w wtyczce WPLMS. Atakujący bez żadnego uwierzytelnienia (PR:N, UI:N) może poprzez sieć (AV:N) skorzystać z luki i uzyskać wyższy poziom uprawnień niż mu przysługuje. Niska złożoność ataku (AC:L) oznacza, że exploit nie wymaga spełnienia żadnych specjalnych warunków po stronie ofiary ani infrastruktury.

Skutki

Nieuwierzytelniony atakujący może uzyskać podwyższone uprawnienia w obrębie witryny WordPress, co w praktyce może prowadzić do pełnego przejęcia kontroli nad serwisem, w tym odczytu, modyfikacji i usunięcia danych.

Mitygacja

Należy niezwłocznie zaktualizować wtyczkę WPLMS do wersji wyższej niż 1.9.9. Szczegółowe informacje o dostępnym patchu dostępne są w bazie Patchstack oraz u producenta. Do czasu aktualizacji zaleca się rozważenie dezaktywacji wtyczki na narażonych instalacjach.

Kogo dotyczy

Wtyczka VibeThemes WPLMS (wplms_plugin) dla WordPress w wersjach od początku do 1.9.9 włącznie.

Uwagi

Według bazy Patchstack podatność sklasyfikowana jest jako nieuwierzytelniona eskalacja uprawnień (unauthenticated privilege escalation). Szczegóły techniczne exploitu dostępne są pod adresem wskazanym w referencjach.