HT Mega – Absolute Addons For Elementor <= 2.5.2 - オプション更新に対する認可の欠落
WordPress用プラグイン HT Mega – Absolute Addons For Elementor は、2.5.2 以前のバージョンにおいて、'ajax_dismiss' 関数における capability check の欠落により、データの不正な変更|データの損失に対して脆弱です。これにより、購読者（Subscriber）レベル以上の権限を持つ認証済み攻撃者が、users_can_register などのオプションを更新できる可能性があり、不正なユーザー登録につながる可能性があります。ただし、登録を有効化するには登録済みユーザーが必要なため、これはある意味無意味です。しかし、オプション内で true に設定可能な別の値を知っていれば、この脆弱性によってそれを有効化できる可能性があります。
Severity: medium
CVE ID: CVE-2024-4875
CVSS Score: 4.3
CVSS Metrics: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N
Plugin Slug: ht-mega-for-elementor
WPScan URL: https://www.wpscan.com/plugin/ht-mega-for-elementor
Reference URL: https://www.wordfence.com/threat-intel/vulnerabilities/id/bdd3868a-d741-42b4-bc7f-6fb5d33bb71b