Luka wtyczki Contact Form 7 – Dynamic Text Extension umożliwia wykonanie dowolnych shortcode'ów

Co wiadomo

Wtyczka Contact Form 7 – Dynamic Text Extension dla WordPressa do wersji 5.0.6 włącznie zawiera lukę pozwalającą na wykonanie dowolnych shortcode'ów przez nieautoryzowanych użytkowników. Problem wynika z braku odpowiedniej walidacji wartości przed wywołaniem funkcji do_shortcode. Luka została częściowo załatana w wersji 5.0.4.

Wpływ biznesowy

Atakujący bez uwierzytelnienia mogą wykorzystać tę lukę do wykonania dowolnych shortcode'ów, co może prowadzić do nieautoryzowanego działania na stronie internetowej, potencjalnie wpływając na integralność i dostępność serwisu. Operatorzy stron korzystających z tej wtyczki powinni zwrócić uwagę na ryzyko związane z nieautoryzowanym wykonaniem kodu i możliwymi konsekwencjami dla bezpieczeństwa i reputacji firmy.

Rekomendowane działania administratora

Zaleca się jak najszybsze zaktualizowanie wtyczki Contact Form 7 – Dynamic Text Extension do najnowszej dostępnej wersji po 5.0.6, która zawiera poprawki bezpieczeństwa. W przypadku braku możliwości aktualizacji, należy ograniczyć ekspozycję wtyczki, monitorować logi pod kątem podejrzanej aktywności oraz przeprowadzić ocenę ryzyka i priorytetyzację działań zabezpieczających.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference