CVE-2024-10705: podatność SSRF w wtyczce Multiple Page Generator dla WordPress

Co wiadomo

Wtyczka Multiple Page Generator (MPG) dla WordPress do wersji 4.0.5 zawiera podatność Server-Side Request Forgery (SSRF) w funkcji 'mpg_download_file_by_link'. Umożliwia to uwierzytelnionym użytkownikom z uprawnieniami edytora i wyższymi wykonywanie żądań do dowolnych lokalizacji z poziomu aplikacji webowej.

Wpływ biznesowy

Podatność SSRF pozwala atakującym na dostęp i potencjalną modyfikację danych wewnętrznych usług, co może prowadzić do wycieku informacji lub zakłóceń w działaniu systemów wewnętrznych. Organizacje korzystające z tej wtyczki powinny traktować tę lukę jako średniego ryzyka, szczególnie jeśli użytkownicy mają rozszerzone uprawnienia w CMS.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Multiple Page Generator u dostawcy oraz ich wdrożenie. W międzyczasie warto ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi aplikacji pod kątem podejrzanych żądań oraz ograniczyć dostęp do wewnętrznych usług z poziomu serwera WWW.

Źródła

• NVD
• Reference
• Reference