cve-2024/cve-2024-4898-pocCVE-2024-4898の概念実証エクスプロイト。InstaWP Connect WordPressプラグインにおける認可欠落の脆弱性で、認証なしのAPI設定、任意のオプション更新、管理者ユーザー作成を可能にします。
CVE-2024-4898 InstaWP Connect – ワンクリックのWP Staging & Migration <= 0.1.0.38 - 未認証のAPIセットアップ/任意オプションの更新/管理者ユーザーの作成に対する認可の欠如 https://www.wordfence.com/threat-intel/vulnerabilities/wordpress-plugins/instawp-connect/instawp-connect-1-click-wp-staging-migration-01038-missing-authorization-to-unauthenticated-api-setuparbitrary-options-updateadministrative-user-creation
ファイル: wp-content/plugins/instawp-connect/includes/class-instawp-rest-api.php image image image
ファイル: wp-content/plugins/instawp-connect/includes/class-instawp-tools.php image
ユーザーロール「Administrator」を作成
APIキーを作成: https://app.instawp.io/user/api-tokens image
