CVE-2024-4261: Wykonanie dowolnych shortcode'ów w Responsive Contact Form Builder & Lead Generation Plugin dla WordPress

Co wiadomo

Wtyczka Responsive Contact Form Builder & Lead Generation dla WordPress do wersji 1.9.1 włącznie umożliwia uwierzytelnionym użytkownikom z poziomem subskrybenta lub wyższym wykonanie dowolnych shortcode'ów. Wynika to z braku odpowiedniej walidacji wartości przed wywołaniem funkcji do_shortcode.

Wpływ biznesowy

Atakujący z dostępem subskrybenta mogą wykorzystać tę lukę do wykonania nieautoryzowanych shortcode'ów, co może prowadzić do niezamierzonych działań na stronie, takich jak ujawnienie danych lub zmiany w treści. Może to wpłynąć na integralność i bezpieczeństwo witryny oraz zaufanie użytkowników.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki u dostawcy i ich wdrożenie. W międzyczasie warto ograniczyć dostęp użytkowników do poziomu subskrybenta i wyżej oraz monitorować logi pod kątem podejrzanych działań związanych z shortcode'ami. Priorytetowo traktuj aktualizacje zabezpieczeń i minimalizuj ekspozycję wtyczki.

Źródła

• NVD
• Reference
• Reference