Vulnerabilidad en MultiManager WP – Manage All Your WordPress Sites Easily para WordPress (CVE-2024-11028)

Gravedad CVSS v3.1:

CRÍTICA

Tipo:

No Disponible / Otro tipo

Fecha de publicación:

13/11/2024

Última modificación:

19/11/2024

Descripción

El complemento MultiManager WP – Manage All Your WordPress Sites Easily para WordPress es vulnerable a la omisión de autenticación en todas las versiones hasta la 1.0.5 incluida. Esto se debe a que la función de suplantación de usuario determina de manera inapropiada el usuario actual a través de la entrada proporcionada por el usuario. Esto hace posible que los atacantes no autenticados generen un enlace de suplantación que les permitirá iniciar sesión como cualquier usuario existente, como un administrador. NOTA: La función de suplantación de usuario se deshabilitó en la versión 1.1.0 y se volvió a habilitar con un parche en la versión 1.1.2.

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H CVSS v3.1 Severidad y Métricas:

Puntuación base: 9.80 CRÍTICA
Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Alto
Impacto a la integridad (I): Alto
Impacto a la disponibilidad (A): Alto