CVE-2024-13924: luka Blind SSRF w wtyczce Starter Templates dla WordPress

Co wiadomo

Wtyczka Starter Templates firmy FancyWP dla WordPress do wersji 2.0.0 włącznie zawiera lukę Blind Server-Side Request Forgery (SSRF) poprzez filtr 'http_request_host_is_external'. Pozwala to nieautoryzowanym atakującym na wykonywanie żądań sieciowych do dowolnych lokalizacji z poziomu aplikacji webowej.

Wpływ biznesowy

Luka umożliwia atakującym wysyłanie żądań do wewnętrznych usług sieciowych, co może prowadzić do ujawnienia lub modyfikacji danych wewnętrznych systemów. Może to wpłynąć na integralność i poufność danych oraz stabilność infrastruktury IT korzystającej z tej wtyczki.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Starter Templates od producenta FancyWP i ich wdrożenie. W międzyczasie warto ograniczyć dostęp do wewnętrznych usług, monitorować logi pod kątem podejrzanych żądań oraz ocenić ryzyko ekspozycji tej luki w środowisku produkcyjnym.

Źródła

• NVD
• Reference
• Reference