CVE-2024-13838: luka SSRF w wtyczce Uncanny Automator dla WordPress

Co wiadomo

Wtyczka Uncanny Automator dla WordPress do wersji 6.2 włącznie zawiera lukę Server-Side Request Forgery (SSRF) w metodzie 'call_webhook' klasy Automator_Send_Webhook. Luka umożliwia atakującym z uprawnieniami administratora wykonywanie żądań HTTP do dowolnych lokalizacji z poziomu aplikacji webowej.

Wpływ biznesowy

Atakujący z uprawnieniami administratora mogą wykorzystać tę lukę do wysyłania żądań do wewnętrznych usług, co może prowadzić do nieautoryzowanego dostępu lub modyfikacji danych w infrastrukturze. Może to wpłynąć na integralność i poufność systemów oraz zwiększyć ryzyko dalszych ataków wewnętrznych.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Uncanny Automator u dostawcy oraz ich wdrożenie. W międzyczasie warto ograniczyć dostęp do panelu administratora tylko do zaufanych użytkowników, monitorować logi pod kątem podejrzanych żądań oraz ograniczyć możliwość wykonywania zewnętrznych połączeń z serwera, jeśli to możliwe.

Źródła

• NVD
• Reference
• Reference