Analityczne wykorzystywanie plików cookies
CVE-2023-6696: Luka w wtyczce Popup Builder umożliwiająca nieautoryzowany dostęp
Wtyczka Popup Builder do WordPress ma lukę umożliwiającą nieautoryzowany dostęp i ataki SSRF. Sprawdź zalecenia bezpieczeństwa i aktualizacje.
- CVSS
- 8.1 HIGH
- EPSS
- 38.08%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- popup builder
Co wiadomo
Wtyczka Popup Builder dla WordPress do wersji 4.3.1 zawiera lukę pozwalającą na nieautoryzowany dostęp do funkcji z powodu braku odpowiedniej weryfikacji uprawnień. Atakujący z poziomu subskrybenta mogą usuwać innych subskrybentów oraz wykonywać ataki typu blind Server-Side Request Forgery (SSRF).
Wpływ biznesowy
Luka o wysokim poziomie zagrożenia (CVSS 8.1) może prowadzić do nieautoryzowanych działań na stronie, w tym usuwania użytkowników i wykonywania złośliwych żądań po stronie serwera. Może to skutkować zakłóceniem działania serwisu, utratą danych oraz potencjalnym dalszymi atakami na infrastrukturę IT. Operatorzy stron korzystających z tej wtyczki powinni potraktować problem priorytetowo.
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Popup Builder u dostawcy i jej instalację. W przypadku braku łatki należy ograniczyć dostęp do funkcji wtyczki, monitorować logi pod kątem podejrzanych działań oraz rozważyć tymczasowe wyłączenie wtyczki. Warto również przeprowadzić przegląd uprawnień użytkowników i wzmocnić zabezpieczenia środowiska WordPress.