CVE-2024-13895: podatność na wykonanie dowolnych shortcode w wtyczce Code Snippets CPT dla WordPress

Co wiadomo

Wtyczka Code Snippets CPT dla WordPress w wersjach do 2.1.0 włącznie umożliwia uwierzytelnionym użytkownikom z poziomem Subskrybenta lub wyższym wykonanie dowolnych shortcode. Problem wynika z braku odpowiedniej walidacji wartości przed wywołaniem funkcji do_shortcode.

Wpływ biznesowy

Atakujący z dostępem na poziomie Subskrybenta mogą wykorzystać tę lukę do wykonania nieautoryzowanych shortcode, co może prowadzić do niezamierzonych działań na stronie, potencjalnie wpływając na integralność i bezpieczeństwo witryny. Operatorzy IT powinni zwrócić uwagę na możliwość eskalacji uprawnień i nieautoryzowanej aktywności w środowisku WordPress.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Code Snippets CPT u dostawcy i ich wdrożenie. W międzyczasie warto ograniczyć dostęp użytkowników do poziomu Subskrybenta oraz monitorować logi pod kątem podejrzanych działań związanych z shortcode. Priorytetowo należy ocenić ryzyko i wprowadzić odpowiednie środki ograniczające ekspozycję.

Źródła

• NVD
• Reference
• Reference