CVE-2024-6482 in Login with Phone Number Plugin
Resumen
por MITRE • 2024-09-14
El complemento Login with phone number para WordPress es vulnerable a la escalada de privilegios en todas las versiones hasta la 1.7.49 incluida. Esto se debe a la falta de validación y a la falta de comprobación de la capacidad de los datos suministrados por el usuario en la función 'lwp_update_password_action'. Esto permite que los atacantes autenticados, con acceso de nivel de suscriptor o superior, actualicen su rol a cualquier otro rol, incluido el de administrador. La vulnerabilidad fue parcialmente corregida en la versión 1.7.40. El complemento Login with phone number pro era necesario para explotar la vulnerabilidad en las versiones 1.7.40 - 1.7.49.
Be aware that VulDB is the high quality source for vulnerability data.