Luka w Global Gallery WordPress umożliwia wykonanie dowolnych shortcode'ów

Co wiadomo

Wtyczka Global Gallery dla WordPressa do wersji 9.1.5 umożliwia uwierzytelnionym użytkownikom z uprawnieniami subskrybenta lub wyższymi wykonanie dowolnych shortcode'ów z powodu braku odpowiedniej walidacji danych wejściowych. Luka ta może prowadzić do nieautoryzowanego działania w witrynie.

Wpływ biznesowy

Atakujący z dostępem na poziomie subskrybenta mogą wykorzystać tę lukę do wykonania nieautoryzowanych shortcode'ów, co może skutkować modyfikacją treści, wstrzyknięciem złośliwego kodu lub innymi niepożądanymi działaniami w serwisie. Może to wpłynąć na integralność i bezpieczeństwo witryny oraz zaufanie użytkowników.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Global Gallery u dostawcy oraz ich wdrożenie. W międzyczasie ogranicz dostęp użytkowników do poziomu subskrybenta lub wyższego oraz monitoruj logi systemowe pod kątem podejrzanych działań związanych z shortcode'ami. Warto także rozważyć ograniczenie możliwości wykonywania shortcode'ów przez użytkowników o niskich uprawnieniach.

Źródła

• NVD
• Reference
• Reference
• Reference