CVE-2023-6996: Вразливість ін’єкції коду у плагіні Display custom fields in the frontend для WordPress

Що відомо

Плагін Display custom fields in the frontend – Post and User Profile Fields для WordPress містить уразливість ін’єкції коду через shortcode vg_display_data у версіях до 1.2.1 включно. Аутентифіковані користувачі з рівнем доступу contributor і вище можуть виконувати довільний код.

Бізнес-вплив

Ця вразливість дозволяє зловмисникам з обмеженими правами запускати довільні функції та код на сайті, що може призвести до компрометації вебресурсу, втрати даних або порушення роботи системи. Власникам сайтів на WordPress слід розглянути ризики, пов’язані з використанням цього плагіна, особливо якщо на сайті є користувачі з рівнем contributor і вище.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна від розробника та встановити їх у разі доступності. Якщо оновлення відсутні, слід обмежити доступ до shortcode vg_display_data, переглянути права користувачів і знизити їх до мінімально необхідних. Також варто провести аудит логів на предмет підозрілої активності та розглянути тимчасове відключення плагіна для зниження ризику.

Джерела

• NVD
• Reference
• Reference