Luka SSRF w wtyczce Cost Calculator Builder Pro dla WordPress

Co wiadomo

Wtyczka Cost Calculator Builder Pro dla WordPress do wersji 3.1.72 zawiera lukę Server-Side Request Forgery (SSRF) w funkcji send_demo_webhook(). Umożliwia to uwierzytelnionym użytkownikom z poziomem subskrybenta lub wyższym wykonywanie żądań sieciowych do dowolnych lokalizacji z serwera aplikacji.

Wpływ biznesowy

Atakujący z dostępem subskrybenta mogą wykorzystać lukę SSRF do wysyłania żądań do wewnętrznych usług, co może prowadzić do ujawnienia lub modyfikacji poufnych danych. Zagrożenie to wpływa na bezpieczeństwo infrastruktury i może skutkować naruszeniem integralności oraz poufności informacji w środowisku WordPress.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Cost Calculator Builder Pro i ich wdrożenie. W międzyczasie ogranicz dostęp użytkowników do poziomu subskrybenta i wyższego oraz monitoruj logi aplikacji pod kątem podejrzanych żądań sieciowych. Warto również rozważyć ograniczenie dostępu do wewnętrznych usług z poziomu serwera WWW oraz priorytetyzować działania naprawcze zgodnie z ryzykiem.

Źródła

• NVD
• Reference
• Reference