ProfilePress 3.0 - 3.1.3 - प्रमाणित विशेषाधिकार वृद्धि (Authenticated Privilege Escalation)

यह भेद्यता हमलावरों के लिए अत्यंत हानिकारक हो सकती है, क्योंकि वे व्यवस्थापक के विशेषाधिकार प्राप्त करके वेबसाइट के डेटा और कार्यों पर पूर्ण नियंत्रण प्राप्त कर सकते हैं। वे संवेदनशील जानकारी चुरा सकते हैं, वेबसाइट को संशोधित कर सकते हैं, या दुर्भावनापूर्ण कोड इंजेक्ट कर सकते हैं। इस भेद्यता का उपयोग वेबसाइट की प्रतिष्ठा को नुकसान पहुंचाने या उपयोगकर्ताओं को लक्षित करने के लिए भी किया जा सकता है। चूंकि यह WordPress प्लगइन में है, इसलिए वेबसाइट की सुरक्षा से समझौता हो सकता है, जिससे डेटा उल्लंघन और अन्य गंभीर परिणाम हो सकते हैं।

WordPress sites utilizing the ProfilePress plugin, particularly those running versions 3.0.0 through 3.1.3, are at significant risk. Shared hosting environments where multiple websites share the same server resources are especially vulnerable, as a compromise of one site could potentially lead to the compromise of others. Sites with weak password policies or those that haven't implemented proper user access controls are also at increased risk.

• wordpress / composer / npm:

grep -r 'EditUserProfile.php' /var/www/html/wp-content/plugins/

• wordpress / composer / npm:

wp plugin list --status=inactive | grep ProfilePress

• wordpress / composer / npm:

wp plugin update ProfilePress --all

• generic web:

curl -I https://your-wordpress-site.com/wp-admin/profile.php | grep -i 'server' # Check for unusual server headers after profile edits

1. 2021-07-07Disclosure

   disclosure

1. आरक्षित2021-06-10
2. प्रकाशित2021-07-07
3. संशोधित2024-10-15
4. EPSS अद्यतन2026-04-02

CVE-2021-34622 को कम करने के लिए, सबसे महत्वपूर्ण कदम ProfilePress प्लगइन को नवीनतम संस्करण में अपडेट करना है। यदि तत्काल अपडेट संभव नहीं है, तो एक अस्थायी उपाय के रूप में, उपयोगकर्ता प्रोफ़ाइल संपादन क्षमताओं को सीमित करने पर विचार करें ताकि केवल अधिकृत उपयोगकर्ता ही व्यवस्थापक विशेषाधिकार प्राप्त कर सकें। इसके अतिरिक्त, एक वेब एप्लिकेशन फ़ायरवॉल (WAF) का उपयोग करके दुर्भावनापूर्ण अनुरोधों को ब्लॉक किया जा सकता है। प्लगइन अपडेट के बाद, यह सत्यापित करें कि विशेषाधिकार वृद्धि भेद्यता अब मौजूद नहीं है, उपयोगकर्ता प्रोफ़ाइल संपादन कार्यों का परीक्षण करके।