Luka wtyczki Shortcodes by United Themes umożliwia wykonanie dowolnych shortcode'ów

Co wiadomo

Wtyczka Shortcodes by United Themes dla WordPressa w wersjach do 5.1.6 włącznie zawiera lukę pozwalającą na wykonanie dowolnych shortcode'ów przez nieautoryzowanych użytkowników. Problem wynika z braku odpowiedniej walidacji wartości przed wywołaniem funkcji do_shortcode.

Wpływ biznesowy

Atakujący bez uwierzytelnienia mogą wykorzystać tę lukę do uruchomienia dowolnych shortcode'ów, co może prowadzić do nieautoryzowanych działań na stronie, w tym potencjalnego wstrzyknięcia złośliwego kodu lub eskalacji uprawnień. Operatorzy CMS powinni rozważyć ryzyko związane z tą podatnością, zwłaszcza w środowiskach z wieloma użytkownikami lub publicznym dostępem.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Shortcodes by United Themes i ich wdrożenie. W przypadku braku łatki należy ograniczyć dostęp do funkcji wtyczki, monitorować logi pod kątem podejrzanej aktywności oraz przeprowadzić przegląd uprawnień użytkowników. Priorytetem jest minimalizacja ekspozycji i szybka reakcja na potencjalne incydenty.

Źródła

• NVD
• Reference
• Reference