Luka SSRF w wtyczce Gutenberg Blocks with AI by Kadence WP dla WordPress

Co wiadomo

Wtyczka Gutenberg Blocks with AI by Kadence WP do WordPressa w wersjach do 3.6.1 włącznie zawiera lukę Server-Side Request Forgery (SSRF) z powodu niewystarczającej walidacji parametru endpoint w funkcji get_items(). Atakujący z uprawnieniami na poziomie współautora mogą wykonywać żądania do dowolnych punktów końcowych API GetResponse, uzyskując dostęp do wrażliwych danych i klucza API.

Wpływ biznesowy

Luka umożliwia użytkownikom z uprawnieniami współautora lub wyższymi wykonywanie nieautoryzowanych żądań do serwera API GetResponse, co może prowadzić do wycieku danych kontaktów, kampanii i list mailingowych oraz ujawnienia klucza API. Może to narazić organizację na ryzyko naruszenia prywatności danych oraz potencjalne nadużycia w systemach marketingowych i komunikacyjnych.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Gutenberg Blocks with AI by Kadence WP i ich zastosowanie. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do minimum, monitorować logi pod kątem podejrzanych żądań oraz rozważyć tymczasowe wyłączenie funkcji integracji z GetResponse. Warto również przejrzeć i zaktualizować klucze API oraz stosować zasadę najmniejszych uprawnień.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference