Analityczne wykorzystywanie plików cookies
Luka SSRF w wtyczce WP Crontrol dla WordPress (CVE-2025-8678)
Wtyczka WP Crontrol WordPress ma lukę SSRF (CVE-2025-8678) umożliwiającą administratorom wykonywanie nieautoryzowanych żądań sieciowych. Sprawdź zalecenia bezpieczeństwa.
- CVSS
- 5.9 MEDIUM
- EPSS
- 27.11%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- -
Co wiadomo
Wtyczka WP Crontrol dla WordPress w wersjach 1.17.0 do 1.19.1 zawiera lukę typu blind Server-Side Request Forgery (SSRF) w funkcji 'wp_remote_request'. Umożliwia to uwierzytelnionym użytkownikom z uprawnieniami administratora wykonywanie żądań sieciowych do dowolnych lokalizacji z poziomu aplikacji webowej.
Wpływ biznesowy
Luka pozwala na wykonywanie żądań HTTP do wewnętrznych usług sieciowych, co może prowadzić do ujawnienia lub modyfikacji danych wewnętrznych systemów. Atakujący z uprawnieniami administratora mogą wykorzystać tę podatność do eskalacji ataku lub zakłócenia działania infrastruktury IT. W środowiskach WordPress z wieloma wtyczkami i usługami wewnętrznymi ryzyko jest szczególnie istotne.
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki WP Crontrol u jej dostawcy i wdrożenie poprawek. W międzyczasie ogranicz dostęp do panelu administratora tylko do zaufanych użytkowników oraz monitoruj logi serwera pod kątem nietypowych żądań wychodzących. Warto również przeanalizować konfigurację sieci, aby ograniczyć możliwość wykonywania nieautoryzowanych połączeń z serwera WordPress.