Luka SSRF w wtyczce OneStore Sites dla WordPress (CVE-2024-13905)

Co wiadomo

Wtyczka OneStore Sites dla WordPress w wersjach do 0.1.1 włącznie zawiera lukę Server-Side Request Forgery (SSRF) w pliku class-export.php. Pozwala to nieautoryzowanym atakującym na wykonywanie żądań sieciowych do dowolnych lokalizacji z poziomu aplikacji webowej, co może skutkować dostępem do informacji z wewnętrznych usług.

Wpływ biznesowy

Luka SSRF umożliwia atakującym manipulowanie żądaniami sieciowymi aplikacji, co może prowadzić do ujawnienia lub modyfikacji danych wewnętrznych systemów. Dla operatorów IT i właścicieli infrastruktury oznacza to ryzyko naruszenia poufności i integralności danych oraz potencjalne wykorzystanie do dalszych ataków wewnątrz sieci.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki OneStore Sites u dostawcy oraz ich wdrożenie. W międzyczasie warto ograniczyć ekspozycję aplikacji, monitorować logi pod kątem nietypowych żądań sieciowych oraz priorytetyzować działania naprawcze związane z tą luką.

Źródła

• NVD
• Reference
• Reference