Vulnerabilidad en InstaWP Connect – 1-click WP Staging & Migration para WordPress (CVE-2024-6397)

Gravedad CVSS v3.1:

CRÍTICA

Tipo:

CWE-287 Autenticación incorrecta

Fecha de publicación:

11/07/2024

Última modificación:

12/07/2024

Descripción

El complemento InstaWP Connect – 1-click WP Staging & Migration para WordPress es vulnerable a la omisión de autenticación en todas las versiones hasta la 0.1.0.44 incluida. Esto se debe a una verificación insuficiente de la clave API. Esto hace posible que atacantes no autenticados inicien sesión como cualquier usuario existente en el sitio, como un administrador, si tienen acceso al nombre de usuario, y realicen una variedad de otras tareas administrativas. NOTA: Esta vulnerabilidad se solucionó parcialmente en 0.1.0.44, pero aún era explotable mediante Cross-Site Request Forgery.

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H CVSS v3.1 Severidad y Métricas:

Puntuación base: 9.80 CRÍTICA
Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Alto
Impacto a la integridad (I): Alto
Impacto a la disponibilidad (A): Alto

Puntuación base 3.x

9.80

Gravedad 3.x

CRÍTICA

Productos y versiones vulnerables

CPE	Desde	Hasta
cpe:2.3:a:instawp:instawp_connect::::::wordpress::*		0.1.0.45 (excluyendo)

Para consultar la lista completa de nombres de CPE con productos y versiones, ver esta página

Vulnerabilidad en InstaWP Connect – 1-click WP Staging & Migration para WordPress (CVE-2024-6397)

Descripción

Impacto

Productos y versiones vulnerables

Referencias a soluciones, herramientas e información