CVE-2024-12237: SSRF w wtyczce Photo Gallery Slideshow & Masonry Tiled Gallery dla WordPress

Co wiadomo

Wtyczka Photo Gallery Slideshow & Masonry Tiled Gallery dla WordPress do wersji 1.0.15 zawiera lukę SSRF umożliwiającą uwierzytelnionym użytkownikom z poziomem Subskrybenta i wyższym wykonywanie żądań do dowolnych adresów z serwera aplikacji. Luka pozwala na ograniczony dostęp do informacji z usług wewnętrznych.

Wpływ biznesowy

Atakujący z dostępem subskrybenta mogą wykorzystać lukę SSRF do wysyłania żądań z serwera aplikacji do wewnętrznych zasobów, co może prowadzić do ujawnienia poufnych danych lub dalszej eskalacji ataku. W środowiskach z wieloma usługami wewnętrznymi ryzyko jest większe, zwłaszcza jeśli serwer ma dostęp do krytycznych systemów. Operatorzy powinni ocenić ekspozycję i priorytetyzować aktualizację lub ograniczenie dostępu do wtyczki.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Photo Gallery Slideshow & Masonry Tiled Gallery i jej instalację. W przypadku braku łatki należy ograniczyć dostęp użytkowników do poziomu niższego niż Subskrybent lub wyłączyć wtyczkę. Dodatkowo warto monitorować logi serwera pod kątem nietypowych żądań i ograniczyć możliwość wykonywania zewnętrznych połączeń z serwera aplikacji.

Źródła

• NVD
• Reference
• Reference
• Reference