CVE-2021-24175 – The Plus Addons for Elementor Page Builder < 4.1.7 - Authentication Bypass

https://notcve.org/view.php?id=CVE-2021-24175

The Plus Addons for Elementor Page Builder WordPress plugin before 4.1.7 was being actively exploited to by malicious actors to bypass authentication, allowing unauthenticated users to log in as any user (including admin) by just providing the related username, as well as create accounts with arbitrary roles, such as admin. These issues can be exploited even if registration is disabled, and the Login widget is not active. El plugin de WordPress Plus Addons for Elementor Page Builder versiones anteriores a 4.1.7, estaban siendo explotados activamente por actores maliciosos para omitir la autenticación, permitiendo a usuarios no autenticados iniciar sesión como cualquier usuario (incluyendo el administrador) al solo proporcionar el nombre de usuario relacionado, así como diseñar cuentas. con roles arbitrarios, como admin.&#xa0;Estos problemas pueden ser explotados incluso si el registro está deshabilitado y el widget de Login no está activo • https://posimyth.ticksy.com/ticket/2713734 https://wpscan.com/vulnerability/c311feef-7041-4c21-9525-132b9bd32f89 https://www.wordfence.com/blog/2021/03/critical-0-day-in-the-plus-addons-for-elementor-allows-site-takeover • CWE-287: Improper Authentication •