Luka wtyczki Jetpack dla WordPress (CVE-2024-10075) umożliwiająca nieautoryzowane uruchamianie shortcode'ów

Co wiadomo

Wtyczka Jetpack dla WordPress w wersjach przed 13.8 nie ogranicza dostępu do postów tworzonych przez formularz kontaktowy wyłącznie do uprawnionych użytkowników. Może to pozwolić nieautoryzowanym osobom na uruchamianie dowolnych shortcode'ów i bloków.

Wpływ biznesowy

Ta luka może prowadzić do nieautoryzowanego wykonania kodu w środowisku WordPress, co zagraża integralności i bezpieczeństwu witryny. Operatorzy CMS powinni zwrócić uwagę na potencjalne ryzyko eskalacji uprawnień i manipulacji treścią, które mogą wpłynąć na reputację i dostępność usług.

Rekomendowane działania administratora

Zaleca się jak najszybszą aktualizację wtyczki Jetpack do wersji 13.8 lub nowszej. W przypadku braku możliwości natychmiastowej aktualizacji, ogranicz dostęp do formularzy kontaktowych oraz monitoruj logi pod kątem podejrzanej aktywności. Przeanalizuj uprawnienia użytkowników i rozważ wdrożenie dodatkowych mechanizmów kontroli dostępu.

Źródła

• NVD
• Reference