CVE-2024-11038: podatność w wtyczce WPB Popup for Contact Form 7

Co wiadomo

Wtyczka WPB Popup for Contact Form 7 do WordPressa jest podatna na wykonanie dowolnego shortcode poprzez akcję AJAX wpb_pcf_fire_contact_form w wersjach do 1.7.5 włącznie. Luka wynika z braku odpowiedniej walidacji wartości przed wywołaniem funkcji do_shortcode, co umożliwia nieautoryzowanym atakującym wykonanie dowolnego shortcode.

Wpływ biznesowy

Podatność o wysokim poziomie ryzyka (CVSS 7.3) może pozwolić atakującym na wykonanie nieautoryzowanego kodu w środowisku WordPress, co może prowadzić do eskalacji uprawnień, wycieku danych lub innych działań naruszających bezpieczeństwo serwisu. Operatorzy powinni zweryfikować użycie tej wtyczki i ocenić potencjalne ryzyko dla swoich systemów.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki WPB Popup for Contact Form 7 u dostawcy oraz jej instalację, jeśli jest dostępna. W przypadku braku łatki należy ograniczyć ekspozycję serwisu, monitorować logi pod kątem podejrzanych działań oraz rozważyć tymczasowe wyłączenie wtyczki. Priorytetem jest szybka reakcja i weryfikacja środowiska pod kątem potencjalnych incydentów.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference