CVE-2024-2343: Luka SSRF w motywie Avada dla WordPress

Co wiadomo

Motyw Avada dla WordPress i WooCommerce jest podatny na atak Server-Side Request Forgery (SSRF) w wersjach do 7.11.6 włącznie, poprzez funkcję form_to_url_action. Umożliwia to uwierzytelnionym użytkownikom z uprawnieniami co najmniej na poziomie współautora wykonywanie żądań sieciowych do dowolnych lokalizacji z poziomu aplikacji.

Wpływ biznesowy

Podatność SSRF może pozwolić atakującym na dostęp i modyfikację danych wewnętrznych usług, co stanowi zagrożenie dla integralności i poufności systemów. Może to prowadzić do eskalacji uprawnień lub wycieku informacji w środowiskach korzystających z motywu Avada. Operatorzy powinni traktować tę lukę jako istotne ryzyko dla bezpieczeństwa infrastruktury CMS.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji motywu Avada u dostawcy oraz ich wdrożenie. W międzyczasie warto ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi aplikacji pod kątem podejrzanych żądań oraz ograniczyć dostęp do wewnętrznych usług. Priorytetem jest szybka weryfikacja i załatanie podatności.

Źródła

• NVD
• Reference
• Reference
• Reference