CVE-2024-13361: luka w wtyczce AI Power dla WordPress umożliwiająca nieautoryzowany dostęp

Co wiadomo

Wtyczka AI Power: Complete AI Pack dla WordPress do wersji 1.8.96 ma lukę polegającą na braku sprawdzenia uprawnień w funkcji wpaicg_save_image_media. Pozwala to użytkownikom z poziomem subskrybenta i wyższym na przesyłanie obrazów z osadzonymi atrybutami shortcode, które mogą zostać wykonane podczas wysyłania żądania POST do strony załącznika.

Wpływ biznesowy

Luka ta może umożliwić atakującym z ograniczonymi uprawnieniami wykonanie nieautoryzowanego kodu poprzez przesyłanie specjalnie spreparowanych obrazów. Może to prowadzić do eskalacji uprawnień lub innych działań naruszających integralność i bezpieczeństwo witryny WordPress. Operatorzy powinni traktować tę lukę jako średniego ryzyka, zwłaszcza w środowiskach z wieloma użytkownikami o różnych poziomach dostępu.

Rekomendowane działania administratora

Administratorzy powinni niezwłocznie zweryfikować wersję wtyczki AI Power i zaktualizować ją do najnowszej dostępnej wersji, jeśli została wydana poprawka. W przypadku braku aktualizacji zaleca się ograniczenie dostępu użytkowników do minimum, monitorowanie logów pod kątem podejrzanych aktywności oraz rozważenie tymczasowego wyłączenia funkcji przesyłania obrazów przez użytkowników o niskich uprawnieniach. Regularne przeglądy i audyty bezpieczeństwa wtyczek WordPress są również wskazane.

Źródła

• NVD
• Reference
• Reference