Плагин Kubio AI Page Builder для WordPress уязвим к неавторизованной установке плагинов из-за отсутствия проверки прав доступа на действие …

Плагин Kubio AI Page Builder для WordPress уязвим к неавторизованной установке плагинов из-за отсутствия проверки прав доступа на действие AJAX kubio-image-hub-install-plugin во всех версиях вплоть до 2.6.3 включительно. Это позволяет аутентифицированным злоумышленникам с уровнем доступа Subscriber и выше устанавливать плагин Image Hub [1]. В версии 2.6.3 код проверки прав доступа к установке плагинов через AJAX отсутствует, что позволяет выполнить установку без надлежащих полномочий. Проблема была устранена в версии 2.6.5 путем добавления проверки прав пользователя на установку плагинов [2]. Источники: - [1] https://www.wordfence.com/threat-intel/vulnerabilities/id/1f528c89-2b8c-4750-b9eb-47ebd8c1630e?source=cve - [2] https://plugins.trac.wordpress.org/browser/kubio/tags/2.6.3/lib/integrations/image-hub/image-hub.php#L70 - [3] https://plugins.trac.wordpress.org/changeset/3361499/kubio/trunk/lib/integrations/image-hub/image-hub.php