Krytyczna luka wtyczki AI Copilot – Content Generator dla WordPress umożliwia przejęcie kontroli nad stroną

Co wiadomo

Wtyczka AI Copilot – Content Generator dla WordPress do wersji 1.5.6 włącznie posiada lukę pozwalającą na obejście autoryzacji. Nieprawidłowa weryfikacja uprawnień umożliwia nieautoryzowanym atakującym utworzenie konta administratora i pełne przejęcie witryny poprzez złośliwy workflow.

Wpływ biznesowy

Luka o krytycznym poziomie CVSS 9.8 pozwala atakującym bez uwierzytelnienia na uzyskanie pełnej kontroli nad stroną WordPress, co może skutkować utratą danych, defacementem witryny lub wykorzystaniem jej do dalszych ataków. Właściciele i operatorzy stron powinni traktować tę podatność jako priorytetową do zaadresowania, zwłaszcza jeśli na frontendzie używają shortcode [aiwu-form] lub publicznego chatbota.

Rekomendowane działania administratora

Zaleca się natychmiastową aktualizację wtyczki do najnowszej wersji udostępnionej przez producenta. W przypadku braku dostępnej poprawki należy ograniczyć ekspozycję stron korzystających z [aiwu-form] lub chatbota, monitorować logi pod kątem podejrzanych działań oraz rozważyć tymczasowe wyłączenie wtyczki. Wsparcie DataHouse obejmuje weryfikację wersji oprogramowania, zarządzanie aktualizacjami oraz analizę logów bezpieczeństwa w celu minimalizacji ryzyka.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference