CVE-2024-9065: luka w wtyczce WP Helper Premium umożliwiająca nieautoryzowane wysyłanie maili

Co wiadomo

Wtyczka WP Helper Premium dla WordPressa do wersji 4.6.1 ma lukę pozwalającą na wysyłanie maili przez nieautoryzowanych użytkowników z dowolną treścią i nadawcą. Problem wynika z braku weryfikacji uprawnień w funkcji 'whp_smtp_send_mail_test'.

Wpływ biznesowy

Luka umożliwia atakującym wysyłanie fałszywych wiadomości e-mail z serwera WordPress, co może prowadzić do nadużyć, phishingu oraz utraty zaufania do domeny. Administratorzy powinni traktować tę podatność jako średniego ryzyka, zwłaszcza w środowiskach z publicznym dostępem do panelu WordPress.

Rekomendowane działania administratora

Zaleca się jak najszybsze zaktualizowanie wtyczki WP Helper Premium do wersji wyższej niż 4.6.1, jeśli jest dostępna. W przypadku braku aktualizacji należy ograniczyć dostęp do funkcji testu SMTP, monitorować logi serwera pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie wtyczki. Regularnie przeglądaj komunikaty producenta w celu uzyskania poprawek.

Źródła

• NVD
• Reference
• Reference
• Reference