Luka wtyczki Uncode Core dla WordPress umożliwia wykonanie dowolnych shortcode'ów

Co wiadomo

Wtyczka Uncode Core dla WordPress w wersjach do 2.9.1.6 włącznie pozwala na wykonanie dowolnych shortcode'ów przez użytkowników z uprawnieniami subskrybenta i wyższymi. Problem wynika z braku odpowiedniej walidacji wartości przed wywołaniem funkcji do_shortcode.

Wpływ biznesowy

Atakujący z dostępem na poziomie subskrybenta mogą wykorzystać tę lukę do uruchomienia nieautoryzowanych shortcode'ów, co może prowadzić do eskalacji uprawnień lub innych niepożądanych działań na stronie. Właściciele stron i operatorzy IT powinni zwrócić uwagę na potencjalne ryzyko związane z tą podatnością, szczególnie w środowiskach z wieloma użytkownikami o różnym poziomie dostępu.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Uncode Core i ich wdrożenie. W przypadku braku natychmiastowej aktualizacji warto ograniczyć dostęp użytkowników do poziomu subskrybenta oraz monitorować logi pod kątem podejrzanej aktywności związanej z shortcode'ami. Priorytetem jest szybka weryfikacja i wdrożenie poprawek od dostawcy.

Źródła

• NVD
• Reference
• Reference