Luka wtyczki The Authors List dla WordPress umożliwia wykonanie dowolnego shortcode (CVE-2024-10952)

Co wiadomo

Wtyczka The Authors List dla WordPress w wersjach do 2.0.4 włącznie posiada lukę umożliwiającą nieautoryzowane wykonanie dowolnego shortcode poprzez akcję AJAX update_authors_list_ajax. Problem wynika z braku odpowiedniej walidacji danych przed wywołaniem funkcji do_shortcode.

Wpływ biznesowy

Atakujący bez uwierzytelnienia mogą wykorzystać tę lukę do wykonania dowolnego shortcode, co może prowadzić do eskalacji uprawnień, ujawnienia danych lub innych nieautoryzowanych działań na stronie. Właściciele stron i administratorzy powinni traktować tę lukę jako poważne zagrożenie dla integralności i bezpieczeństwa witryny.

Rekomendowane działania administratora

Zaleca się jak najszybsze zaktualizowanie wtyczki The Authors List do wersji po 2.0.4, jeśli jest dostępna. W przypadku braku aktualizacji należy ograniczyć dostęp do funkcji AJAX update_authors_list_ajax, monitorować logi serwera pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie wtyczki. Warto również przeprowadzić przegląd zabezpieczeń i priorytetyzować działania naprawcze.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference