Luka wtyczki WP Latest Posts umożliwia wykonanie dowolnego shortcode (CVE-2024-4135)

Co wiadomo

Wtyczka WP Latest Posts dla WordPressa w wersjach do 5.0.7 włącznie posiada lukę pozwalającą na wykonanie dowolnego shortcode przez nieautoryzowanych użytkowników. Problem wynika z braku odpowiedniej walidacji wartości przekazywanych do funkcji do_shortcode.

Wpływ biznesowy

Atakujący bez uwierzytelnienia mogą wykorzystać tę lukę do uruchomienia dowolnych shortcode, co może prowadzić do nieautoryzowanych działań na stronie, w tym potencjalnego wykonania złośliwego kodu lub eskalacji uprawnień. Operatorzy stron opartych na WordPressie powinni zweryfikować użycie tej wtyczki i ocenić ryzyko dla swoich środowisk.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki WP Latest Posts i ich instalację. W przypadku braku łatki należy ograniczyć dostęp do funkcji wtyczki, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie wtyczki. Warto również przeprowadzić przegląd uprawnień użytkowników i zabezpieczeń strony.

Źródła

• NVD
• Reference
• Reference