Luka wtyczki ProfilePress dla WordPress umożliwia wykonanie dowolnych shortcode'ów

Co wiadomo

Wtyczka ProfilePress dla WordPress, używana do zarządzania członkostwem i formularzami użytkowników, posiada lukę pozwalającą nieautoryzowanym atakującym na wykonanie dowolnych shortcode'ów. Luka dotyczy wszystkich wersji do 4.16.4 włącznie i wynika z braku odpowiedniej walidacji danych przed wywołaniem funkcji do_shortcode.

Wpływ biznesowy

Atakujący bez uwierzytelnienia mogą wykorzystać tę lukę do wykonania dowolnych shortcode'ów, co może prowadzić do nieautoryzowanych działań na stronie, potencjalnie wpływając na integralność i dostępność serwisu. Operatorzy stron opartych na WordPress z tą wtyczką powinni traktować tę lukę jako istotne zagrożenie dla bezpieczeństwa aplikacji webowej.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki ProfilePress u jej dostawcy i ich wdrożenie. W międzyczasie warto ograniczyć dostęp do funkcji umożliwiających wykonywanie shortcode'ów, monitorować logi serwera pod kątem podejrzanej aktywności oraz ocenić ryzyko ekspozycji tej luki w kontekście własnej infrastruktury.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference