Aukščiausios kokybės WPLMS „WordPress“ papildiniai pašalina septynis esminius trūkumus

Du „WordPress“ papildiniai, kurių reikia aukščiausios kokybės „WordPress WPLMS“ temai, kuri parduota daugiau nei 28 000, yra pažeidžiami dėl daugiau nei tuzino kritinio sunkumo spragų.

Klaidos gali leisti nuotoliniam, neautentifikuotam užpuolikui įkelti savavališkus failus į serverį, vykdyti kodą, padidinti privilegijas administratoriaus lygiu ir atlikti SQL injekcijas.

WPLMS tema yra mokymosi valdymo sistema (LMS), skirta WordPress, kurią daugiausia naudoja švietimo įstaigos, mokymus teikiančios korporacijos ir el. mokymosi paslaugų teikėjai. Ji taip pat siūlo integraciją su „WooCommerce“ kursų pardavimui.

WPLMS temos pažeidžiamumas

„Patchstack“ pažeidžiamumo tyrinėtojai WPLMS ir VibeBP įskiepiuose iš viso aptiko 18 saugos problemų ir naujausioje ataskaitoje pateikia 10 svarbiausių.

Štai trūkumų, turinčių įtakos WPLMS temai, santrauka:

1. CVE-2024-56046 (CVSS 10.0): leidžia užpuolikams įkelti kenkėjiškus failus be autentifikavimo, todėl gali būti vykdomas nuotolinis kodo vykdymas (RCE).
2. CVE-2024-56050 (CVSS 9.9): Autentifikuoti vartotojai, turintys abonento teises, gali įkelti failus, apeidami apribojimus.
3. CVE-2024-56052 (CVSS 9.9): panašus į „Subscriber+“, bet gali būti naudojamas naudotojų, turinčių studentų vaidmenis.
4. CVE-2024-56043 (CVSS 9.8): užpuolikai gali užsiregistruoti kaip bet koks vaidmuo, įskaitant administratorių, be autentifikavimo.
5. CVE-2024-56048 (CVSS 8.8): žemų privilegijų vartotojai gali pereiti prie aukštesnių vaidmenų, pvz., Administratoriaus, naudodamiesi silpnu vaidmenų patvirtinimu.
6. CVE-2024-56042 (CVSS 9.3): užpuolikai gali įvesti kenkėjiškas SQL užklausas, kad išgautų neskelbtinus duomenis arba pakenktų duomenų bazei.
7. CVE-2024-56047 (CVSS 8.5): žemų privilegijų vartotojai gali vykdyti SQL užklausas, todėl gali kilti pavojus duomenų vientisumui arba konfidencialumui.

Ir už VibeBP:

1. CVE-2024-56040 (CVSS 9.8): užpuolikai gali užsiregistruoti kaip privilegijuoti vartotojai be autentifikavimo.
2. CVE-2024-56039 (CVSS 9.3): SQL užklausas gali įvesti neautentifikuoti vartotojai, išnaudodami prastai išvalytas įvestis.
3. CVE-2024-56041 (CVSS 8.5): Autentifikuoti vartotojai, turintys minimalias teises, gali atlikti SQL injekciją, kad pakenktų arba ištrauktų duomenų bazės informaciją.

WPLMS naudotojai turėtų atnaujinti iki 1.9.9.5.3 ir naujesnės versijos, o VibeBP turėtų būti atnaujintas iki 1.9.9.7.7 ar naujesnės versijos.

Kaip bendrą saugumo patarimą, „Patchstack“ siūlo, kad svetainės vykdytų saugų failų įkėlimą, SQL užklausų valymą ir vaidmenimis pagrįstą prieigos valdymą.

Patchstack rado pažeidžiamumą ir kovo 31 d. apie problemas pranešė WPLMS kūrėjai Vibe Themese. Nuo balandžio iki lapkričio kūrėjas išbandė kelis pataisymus, kol sugebėjo ištaisyti visus pažeidžiamumus.

„Vibe Themes“ bendradarbiavo su „Patchstack“, kad įsitikintų, jog pateikta pataisa pašalina visas klaidas.