placesterに認証なしでアカウント乗っ取りの脆弱性、修正版なし
Summary
WordPressプラグインplacesterに、ログインなしで管理者のメールアドレスを書き換えられ、アカウントを奪われる脆弱性があります。修正版が確認されていないため、該当サイトはプラグインを無効化し、管理者のメールアドレスを点検してください。
AI summary
Produced by SecPulse using an external AI model; it may contain mistakes. Check the original description and references below before acting on it.
WordPressプラグインplacesterに、ログインなしで管理者のメールアドレスを書き換えられ、アカウントを奪われる脆弱性があります。修正版が確認されていないため、該当サイトはプラグインを無効化し、管理者のメールアドレスを点検してください。
Affected packages
| Ecosystem | Package | Affected | Fixed |
|---|---|---|---|
| CVE | placester |
≤ 1.4.3 |
— |
Original description The description as published by the source.
The placester WordPress plugin through 1.4.3 does not perform any capability, nonce or ownership check on an AJAX action that updates account details, allowing unauthenticated attackers to overwrite any user's email address, including an administrator's, and take over the account through the standard password-reset flow.
Source: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
References
- web contact@wpscan.com
- web nvd.nist.gov
- web wpscan.com
- web github.com