CVE-2024-5326

CVE-2024-5326 Post Grid Gutenberg Blocks and WordPress Blog Plugin – PostX <= 4.1.2 - अनधिकृत अपडेट्स के लिए लापता प्राधिकरण

विवरण

Post Grid Gutenberg Blocks and WordPress Blog Plugin – PostX वर्डप्रेस प्लगइन, 'postx_presets_callback' फंक्शन में कैपेबिलिटी चेक की कमी के कारण डेटा में अनधिकृत संशोधन के लिए संवेदनशील है। यह 4.1.2 तक (और इसमें शामिल) सभी संस्करणों में मौजूद है। इससे प्रमाणित हमलावरों (Contributor-level पहुंच और उससे ऊपर) के लिए प्रभावित साइटों पर मनमाने विकल्पों को बदलना संभव हो जाता है। इसका उपयोग नए उपयोगकर्ता पंजीकरण को सक्षम करने और नए उपयोगकर्ताओं के लिए डिफ़ॉल्ट भूमिका को Administrator पर सेट करने के लिए किया जा सकता है।

https://www.wordfence.com/threat-intel/vulnerabilities/wordpress-plugins/ultimate-post/post-grid-gutenberg-blocks-and-wordpress-blog-plugin-postx-412-missing-authorization-to-arbitrary-options-update

उपयोगकर्ता Contributor नए उपयोगकर्ता पंजीकरण को सक्षम करने और नए उपयोगकर्ताओं के लिए डिफ़ॉल्ट भूमिका को Administrator पर सेट करें।

Poc:

https://github.com/truonghuuphuc/CVE-2024-5326/assets/20487674/fca81a71-9812-4d0f-b48f-2db94e2c7347