CVE-2024-13856: SSRF w wtyczce Make Builder dla WordPress

Co wiadomo

Wtyczka Make Builder dla WordPress do wersji 1.1.10 zawiera lukę Server-Side Request Forgery (SSRF) w funkcji make_builder_ajax_subscribe(). Umożliwia to uwierzytelnionym użytkownikom z poziomem subskrybenta lub wyższym wykonywanie żądań do dowolnych adresów z serwera, co może prowadzić do nieautoryzowanego dostępu do wewnętrznych usług.

Wpływ biznesowy

Atakujący z dostępem subskrybenta mogą wykorzystać lukę SSRF do wysyłania żądań z serwera aplikacji do innych zasobów, co może skutkować ujawnieniem lub modyfikacją danych wewnętrznych systemów. Może to prowadzić do naruszenia poufności i integralności danych oraz zwiększa ryzyko dalszych ataków na infrastrukturę IT.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Make Builder i ich wdrożenie. W międzyczasie ogranicz dostęp do panelu WordPress tylko do zaufanych użytkowników oraz monitoruj logi serwera pod kątem nietypowych żądań wychodzących. Warto również przeanalizować konfigurację sieci, aby ograniczyć możliwość wykonywania nieautoryzowanych połączeń z serwera.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference