CVE-2024-11012: Wykonanie dowolnych shortcode'ów w wtyczce The Notibar dla WordPress

Co wiadomo

Wtyczka The Notibar – Notification Bar dla WordPress do wersji 2.1.4 umożliwia uwierzytelnionym użytkownikom (od poziomu Subskrybenta wzwyż) wykonanie dowolnych shortcode'ów poprzez akcję AJAX njt_nofi_text. Problem wynika z braku odpowiedniej walidacji danych przed wywołaniem funkcji do_shortcode.

Wpływ biznesowy

Atakujący z dostępem na poziomie Subskrybenta mogą wykorzystać tę lukę do wykonania nieautoryzowanych shortcode'ów, co może prowadzić do eskalacji uprawnień, manipulacji treścią lub innych niepożądanych działań w środowisku WordPress. Właściciele stron powinni traktować tę lukę jako istotne zagrożenie dla integralności i bezpieczeństwa witryny.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki The Notibar i ich wdrożenie. W przypadku braku łatki należy ograniczyć dostęp użytkowników do poziomu Subskrybenta oraz monitorować logi serwera pod kątem podejrzanych działań związanych z akcją AJAX njt_nofi_text. Warto również rozważyć tymczasowe wyłączenie wtyczki do czasu usunięcia podatności.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference