Luka wtyczki Contact Form & SMTP Plugin for WordPress umożliwia wykonanie dowolnych shortcode'ów

Co wiadomo

Wtyczka Contact Form & SMTP Plugin for WordPress by PirateForms do wersji 2.6.0 włącznie zawiera lukę pozwalającą na wykonanie dowolnych shortcode'ów bez uwierzytelnienia. Problem wynika z braku odpowiedniej walidacji wartości przed wywołaniem funkcji do_shortcode.

Wpływ biznesowy

Atakujący bez uwierzytelnienia mogą wykorzystać tę lukę do uruchomienia dowolnych shortcode'ów, co może prowadzić do nieautoryzowanych działań na stronie, potencjalnie wpływając na integralność i bezpieczeństwo witryny. Operatorzy stron WordPress powinni traktować tę lukę jako wysokiego ryzyka, zwłaszcza jeśli korzystają z podatnej wersji wtyczki.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Contact Form & SMTP Plugin for WordPress i jej instalację. W przypadku braku łatki warto ograniczyć ekspozycję wtyczki, monitorować logi pod kątem podejrzanych działań oraz priorytetyzować działania naprawcze. Regularne przeglądy bezpieczeństwa i stosowanie zasad minimalnych uprawnień również pomogą ograniczyć ryzyko.

Źródła

• NVD
• Reference
• Reference
• Reference