cve-2024/cve-2024-4898-pocЭксплойт (proof-of-concept) для CVE-2024-4898, уязвимость отсутствия авторизации в плагине InstaWP Connect для WordPress, позволяющая неавторизованную настройку API, произвольное обновление опций и создание административного пользователя.
CVE-2024-4898 InstaWP Connect – 1-клик WP Staging & Migration <= 0.1.0.38 - Отсутствие авторизации для неаутентифицированной настройки API/Обновление произвольных опций/Создание административного пользователя https://www.wordfence.com/threat-intel/vulnerabilities/wordpress-plugins/instawp-connect/instawp-connect-1-click-wp-staging-migration-01038-missing-authorization-to-unauthenticated-api-setuparbitrary-options-updateadministrative-user-creation
Файл: wp-content/plugins/instawp-connect/includes/class-instawp-rest-api.php image image image
Файл: wp-content/plugins/instawp-connect/includes/class-instawp-tools.php image
Создать пользователя с ролью Администратор
Создать API-ключ: https://app.instawp.io/user/api-tokens image
