Luka wtyczki Advanced Custom Fields: Extended umożliwia wykonanie dowolnych shortcode'ów

Co wiadomo

Wtyczka Advanced Custom Fields: Extended dla WordPressa w wersjach do 0.9.2.3 pozwala na wykonanie dowolnych shortcode'ów przez nieautoryzowanych użytkowników. Problem wynika z braku odpowiedniej walidacji wartości przed wywołaniem funkcji do_shortcode.

Wpływ biznesowy

Atakujący bez uwierzytelnienia mogą wykorzystać tę lukę do uruchomienia dowolnych shortcode'ów, co może prowadzić do nieautoryzowanych działań na stronie, w tym potencjalnego wstrzyknięcia złośliwego kodu lub eskalacji uprawnień. Właściciele stron i operatorzy IT powinni traktować tę lukę jako istotne zagrożenie dla bezpieczeństwa aplikacji webowych opartych na WordPressie.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Advanced Custom Fields: Extended i jej instalację. W przypadku braku natychmiastowej aktualizacji warto ograniczyć dostęp do funkcji wykonujących shortcode'y, przeprowadzić przegląd logów pod kątem podejrzanej aktywności oraz monitorować system pod kątem nietypowych zachowań. Priorytetem jest minimalizacja ekspozycji i szybkie wdrożenie poprawek.

Źródła

• NVD
• Reference
• Reference
• Reference