Вразливість у Fediverse Embeds дозволяє обходити автентифікацію AJAX-запитів

Що відомо

У Fediverse Embeds для WordPress до версії 1.5.9 існувала вразливість, що дозволяла неавторизованим користувачам виконувати AJAX-запити з перевіркою nonce, який був доступний на публічних сторінках. Це могло призвести до небажаного отримання інформації з URL, наданих атакуючим.

Бізнес-вплив

Для власників сайтів на WordPress із встановленим плагіном Fediverse Embeds версії нижче 1.5.9 існує ризик несанкціонованого доступу до даних через виклики AJAX без належної автентифікації. Це може вплинути на конфіденційність та цілісність інформації, що обробляється плагіном, а також створити потенційні вектори для подальших атак.

Рекомендовані дії адміністратора

Рекомендується оновити плагін Fediverse Embeds до версії 1.5.9 або новішої, де ця вразливість виправлена. Якщо оновлення наразі неможливе, слід обмежити доступ до публічних сторінок із вбудованими постами fediverse, переглянути журнали доступу на предмет підозрілої активності та оцінити ризики експозиції. Загалом, слід регулярно перевіряти наявність оновлень плагінів і застосовувати їх своєчасно.

Джерела

• NVD
• Reference
• Reference