CVE-2023-5314: luka w wtyczce WP EXtra umożliwiająca nieautoryzowane wysyłanie e-maili

Co wiadomo

Wtyczka WP EXtra dla WordPressa do wersji 6.2 posiada lukę pozwalającą na nieautoryzowany dostęp do funkcji 'test-email' bez odpowiedniej weryfikacji uprawnień. Atakujący z minimalnymi uprawnieniami, np. subskrybent, mogą wysyłać e-maile z dowolną treścią z serwera pocztowego strony.

Wpływ biznesowy

Luka umożliwia nadużycie serwera pocztowego witryny do rozsyłania nieautoryzowanych wiadomości e-mail, co może prowadzić do reputacyjnych szkód, blokad serwera przez dostawców poczty oraz potencjalnego wykorzystania do phishingu lub rozprzestrzeniania złośliwego oprogramowania. Operatorzy stron korzystających z tej wtyczki powinni traktować tę lukę jako istotne zagrożenie dla integralności i wiarygodności komunikacji e-mailowej.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki WP EXtra u dostawcy oraz ich wdrożenie. W międzyczasie warto ograniczyć uprawnienia użytkowników do minimum, monitorować logi serwera pocztowego pod kątem nietypowej aktywności oraz rozważyć tymczasowe wyłączenie funkcji test-email. Priorytetowo należy ocenić ryzyko i wdrożyć odpowiednie środki zapobiegawcze zgodnie z polityką bezpieczeństwa.

Źródła

• NVD
• Reference
• Reference