CVE-2024-2172
Publiée le 2024-03-13 · Dernière modification le 2026-06-17
Les sites WordPress utilisant les extensions MiniOrange Malware Scanner (jusqu'à la version 4.7.2) ou Web Application Firewall (jusqu'à la version 2.1.1) sont concernés. Un attaquant peut s'octroyer à distance des privilèges d'administrateur complets, lui donnant ainsi un contrôle total sur le site web et ses données. Cette attaque est facile à exécuter car elle ne nécessite aucune authentification, aucune interaction de l'utilisateur et peut être réalisée via le réseau.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
The Malware Scanner plugin and the Web Application Firewall plugin for WordPress (both by MiniOrange) are vulnerable to privilege escalation due to a missing capability check on the mo_wpns_init() function in all versions up to, and including, 4.7.2 (for Malware Scanner) and 2.1.1 (for Web Application Firewall). This makes it possible for unauthenticated attackers to escalate their privileges to that of an administrator.