CVE-2024-11913: podatność Blind SSRF w wtyczce Activity Plus Reloaded dla BuddyPress

Co wiadomo

Wtyczka Activity Plus Reloaded dla BuddyPress w WordPressie jest podatna na Blind Server-Side Request Forgery (SSRF) w funkcji 'ajax_preview_link' we wszystkich wersjach do 1.1.1 włącznie. Atakujący z uprawnieniami subskrybenta lub wyższymi mogą wykonywać żądania sieciowe do dowolnych lokalizacji z poziomu aplikacji webowej.

Wpływ biznesowy

Podatność umożliwia uwierzytelnionym użytkownikom o niskim poziomie uprawnień wykonywanie żądań do wewnętrznych usług, co może prowadzić do nieautoryzowanego dostępu lub modyfikacji danych. Może to wpłynąć na integralność i poufność informacji w infrastrukturze IT, zwłaszcza jeśli usługi wewnętrzne nie są odpowiednio zabezpieczone.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki u dostawcy oraz ich wdrożenie. W międzyczasie ogranicz dostęp do wtyczki tylko do zaufanych użytkowników oraz monitoruj logi aplikacji pod kątem nietypowych żądań sieciowych. Warto również przeprowadzić przegląd konfiguracji sieci i usług wewnętrznych, aby ograniczyć potencjalne skutki ataku.

Źródła

• NVD
• Reference
• Reference