Luka SSRF w wtyczce Zapier for WordPress do wersji 1.5.1

Co wiadomo

Wtyczka Zapier for WordPress do wersji 1.5.1 zawiera lukę Server-Side Request Forgery (SSRF) w funkcji updated_user(), umożliwiającą uwierzytelnionym użytkownikom z poziomem Subskrybenta i wyższym wykonywanie żądań do dowolnych adresów z serwera aplikacji.

Wpływ biznesowy

Atakujący z dostępem subskrybenta mogą wykorzystywać lukę SSRF do wysyłania żądań do wewnętrznych usług, co może prowadzić do nieautoryzowanego dostępu lub modyfikacji danych. Może to zagrozić integralności i poufności informacji w infrastrukturze IT, zwłaszcza jeśli wewnętrzne usługi nie są odpowiednio zabezpieczone.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Zapier for WordPress i ich wdrożenie. W międzyczasie ogranicz dostęp użytkowników do poziomu subskrybenta i wyższego oraz monitoruj logi aplikacji pod kątem podejrzanych żądań. Przeanalizuj konfigurację wewnętrznych usług, aby ograniczyć możliwość nieautoryzowanego dostępu z poziomu aplikacji webowej.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference