Kirki WordPress Plugin podatny na obejście autoryzacji i wysyłanie fałszywych e-maili

Co wiadomo

Wtyczka Kirki – Freeform Page Builder dla WordPressa do wersji 6.0.11 ma lukę umożliwiającą nieautoryzowanym atakującym wysyłanie złośliwych e-maili HTML do zarejestrowanych użytkowników. Luka wynika z niewłaściwej weryfikacji uprawnień użytkownika, co pozwala na phishing z wykorzystaniem prawdziwych linków do resetu hasła.

Wpływ biznesowy

Atakujący mogą wykorzystać tę lukę do rozsyłania wiarygodnie wyglądających wiadomości phishingowych z serwera ofiary, co może prowadzić do przejęcia kont użytkowników i naruszenia bezpieczeństwa danych. Wykorzystanie serwera pocztowego ofiary wpływa negatywnie na reputację SPF/DKIM, co może skutkować problemami z dostarczalnością prawidłowej korespondencji. Operatorzy powinni traktować tę lukę jako istotne zagrożenie dla bezpieczeństwa witryny i użytkowników.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Kirki i ich instalację. W przypadku braku łatki należy ograniczyć dostęp do funkcji wtyczki, monitorować logi serwera pocztowego pod kątem podejrzanej aktywności oraz edukować użytkowników w zakresie rozpoznawania phishingu. Warto również rozważyć tymczasowe wyłączenie wtyczki do czasu załatania luki.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference