Плагин My Login WordPress до версии 7.2.0 не применяет настройки регистрации в сети при обработке регистрации на сайте при многосайтовых установках, позволяя пользователям с учетной записью подписчика и неаутентифицированным пользователям в некоторых сетях создавать новые сайты и получать права администратора над ними.
Показать оригинальное описание (EN)
The My Login WordPress plugin before 7.2.0 does not enforce the network's registration setting when processing site signups on multisite installations, allowing users with a subscriber account, and unauthenticated users on some networks, to create new sites and be granted administrator over them.
Характеристики атаки
Способ атаки
По сети
Атака возможна удалённо
Сложность
Низкая
Легко эксплуатировать
Нужны права
Низкие
Нужны базовые права
Участие пользователя
Не требуется
Не нужно действие пользователя
Последствия
Конфиденциальность
Нет
Нет утечки данных
Целостность
Низкое
Частичная модификация данных
Доступность
Низкое
Частичное нарушение работы
Строка CVSS v3.1
Тип уязвимости (CWE)
Уязвимые продукты
unknown:theme my login