Analityczne wykorzystywanie plików cookies
Luka Server-Side Request Forgery w wtyczce ElementsKit PRO dla WordPress
Wtyczka ElementsKit PRO do WordPress ma lukę SSRF umożliwiającą ataki przez użytkowników z uprawnieniami współpracownika i wyższymi. Sprawdź aktualizacje i zabezpiecz system.
- CVSS
- 8.5 HIGH
- EPSS
- 24.5%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- elementskit
Co wiadomo
Wtyczka ElementsKit PRO dla WordPress w wersjach do 3.6.2 włącznie zawiera lukę SSRF w funkcji 'render_raw'. Pozwala to uwierzytelnionym użytkownikom z uprawnieniami co najmniej współpracownika na wykonywanie żądań sieciowych do dowolnych lokalizacji z poziomu aplikacji webowej.
Wpływ biznesowy
Atakujący z uprawnieniami współpracownika lub wyższymi mogą wykorzystywać lukę do wysyłania żądań do wewnętrznych usług, co może prowadzić do ujawnienia lub modyfikacji poufnych informacji. Może to narazić infrastrukturę na dodatkowe ataki i utratę danych, szczególnie w środowiskach korzystających z wtyczki ElementsKit PRO.
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki ElementsKit PRO u dostawcy oraz ich wdrożenie. W międzyczasie ogranicz uprawnienia użytkowników do niezbędnego minimum, monitoruj logi aplikacji pod kątem nietypowych żądań sieciowych oraz rozważ ograniczenie dostępu do wewnętrznych usług z poziomu aplikacji webowej.