CVE-2024-13907: podatność Server-Side Request Forgery w wtyczce Total Upkeep dla WordPress

Co wiadomo

Wtyczka Total Upkeep – WordPress Backup Plugin plus Restore & Migrate firmy BoldGrid jest podatna na atak Server-Side Request Forgery (SSRF) w wersjach do 1.16.8 włącznie, poprzez funkcję 'download'. Atakujący z uprawnieniami administratora mogą wysyłać żądania do dowolnych lokalizacji z poziomu aplikacji webowej, co umożliwia dostęp i modyfikację danych wewnętrznych usług.

Wpływ biznesowy

Podatność umożliwia osobom z uprawnieniami administratora wtyczki wykonywanie nieautoryzowanych żądań sieciowych, co może prowadzić do ujawnienia lub zmiany danych wewnętrznych systemów. Może to wpłynąć na integralność i poufność danych oraz zwiększyć ryzyko dalszych ataków wewnętrznych. Operatorzy IT powinni ocenić ryzyko w kontekście swoich środowisk i priorytetyzować działania naprawcze.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Total Upkeep u dostawcy i ich wdrożenie. W przypadku braku łatki należy ograniczyć dostęp do panelu administracyjnego WordPress do zaufanych użytkowników oraz monitorować logi pod kątem podejrzanych żądań. Dodatkowo warto zweryfikować konfigurację sieci i usług wewnętrznych, aby ograniczyć potencjalne skutki ataku.

Źródła

• NVD
• Reference
• Reference
• Reference