CVE-2021-34621 - Escalation dei privilegi di WordPress

È stata identificata una vulnerabilità critica nel componente di registrazione utente del plugin WordPress ProfilePress. Questa falla di sicurezza, identificata come CVE-2021-34621, consente a utenti non autorizzati di registrarsi su siti web con privilegi di amministratore, portando potenzialmente a un compromesso totale della sicurezza del sito.

Componente Vulnerabile

La vulnerabilità si trova nel file RegistrationAuth.php, che fa parte del plugin ProfilePress. Questo componente è responsabile della gestione della registrazione degli utenti.

Versioni Interessate

Il problema di sicurezza interessa le versioni del plugin ProfilePress dalla 3.0.0 alla 3.1.3. I siti web che utilizzano una qualsiasi di queste versioni sono a rischio di sfruttamento.

Impatto

Lo sfruttamento di questa vulnerabilità consente ad attori malintenzionati di registrarsi su siti WordPress con privilegi elevati, concedendo loro accesso non autorizzato a funzioni amministrative e dati sensibili. Ciò potrebbe portare al pieno controllo del sito compromesso, alla manipolazione non autorizzata dei contenuti e a potenziali violazioni dei dati.

Mitigazione

Si consiglia vivamente agli amministratori dei siti web di adottare le seguenti azioni:

Aggiornamento immediato: aggiornare il plugin ProfilePress a una versione successiva alla 3.1.3, poiché questa vulnerabilità è stata corretta nelle versioni successive.
Audit di sicurezza: eseguire un audit di sicurezza approfondito per identificare eventuali segni di accesso non autorizzato o attività sospette sul sito interessato.
Revisione utenti: esaminare l'elenco degli utenti registrati per individuare eventuali account non autorizzati o sospetti e revocarne i privilegi.
Monitoraggio: implementare meccanismi di monitoraggio continuo e di rilevamento delle intrusioni per individuare e rispondere tempestivamente a qualsiasi azione non autorizzata.