Analityczne wykorzystywanie plików cookies
CVE-2024-5031: podatność Blind SSRF w wtyczce Memberpress dla WordPress
Wtyczka Memberpress do WordPress ma krytyczną podatność Blind SSRF umożliwiającą ataki z poziomu Contributor. Sprawdź zalecenia bezpieczeństwa.
- CVSS
- 8.5 HIGH
- EPSS
- 21.58%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- memberpress
Co wiadomo
Wtyczka Memberpress dla WordPress w wersjach do 1.11.29 włącznie jest podatna na Blind Server-Side Request Forgery (SSRF) poprzez shortcode 'mepr-user-file'. Umożliwia to uwierzytelnionym użytkownikom z uprawnieniami co najmniej Contributor wykonywanie żądań sieciowych do dowolnych lokalizacji z poziomu aplikacji webowej.
Wpływ biznesowy
Podatność ta pozwala na wykonywanie nieautoryzowanych żądań do wewnętrznych usług, co może prowadzić do ujawnienia lub modyfikacji poufnych danych oraz potencjalnego naruszenia integralności systemu. Atakujący z dostępem Contributor mogą wykorzystać tę lukę do eskalacji ataku w infrastrukturze CMS, co stanowi poważne zagrożenie dla bezpieczeństwa i stabilności środowiska WordPress.
Rekomendowane działania administratora
Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Memberpress u dostawcy oraz ich wdrożenie. W międzyczasie ogranicz dostęp do funkcji shortcode 'mepr-user-file' tylko do zaufanych użytkowników. Monitoruj logi aplikacji pod kątem podejrzanych żądań i rozważ ograniczenie dostępu sieciowego do wewnętrznych usług. Priorytetyzuj działania naprawcze zgodnie z poziomem ryzyka i ekspozycji.