Luka wtyczki Drop Shadow Boxes dla WordPress umożliwia wykonanie dowolnych shortcode'ów

Co wiadomo

Wtyczka Drop Shadow Boxes dla WordPress w wersjach do 1.7.14 włącznie pozwala na wykonanie dowolnych shortcode'ów przez użytkowników z uprawnieniami subskrybenta i wyższymi. Problem wynika z braku odpowiedniej walidacji wartości przed wywołaniem funkcji do_shortcode.

Wpływ biznesowy

Atakujący z dostępem na poziomie subskrybenta mogą wykorzystać tę lukę do uruchomienia dowolnych shortcode'ów, co może prowadzić do nieautoryzowanych działań na stronie, potencjalnie wpływając na integralność i bezpieczeństwo witryny. Właściciele infrastruktury powinni zwrócić uwagę na tę lukę, aby zapobiec eskalacji uprawnień i innym zagrożeniom.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Drop Shadow Boxes i ich instalację. W przypadku braku natychmiastowej poprawki warto ograniczyć dostęp użytkowników do poziomu subskrybenta oraz wyższego, monitorować logi pod kątem podejrzanych działań i przeprowadzić przegląd konfiguracji bezpieczeństwa WordPressa.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference